Исследователи дистанционно обезвредили заброшенный клиент Popcorn Time

Специалисты компании Eye Security устранили серьёзную уязвимость в заброшенном приложении Time4Popcorn — форке популярного BitTorrent-клиента Popcorn Time. Брешь, получившая идентификатор CVE-2026-30612, затрагивала механизм обновлений на Windows и macOS и могла позволить злоумышленникам выполнить произвольный код с повышенными привилегиями на миллионах машин.

В чём была проблема

Модуль обновления обращался к давно заброшенному домену popcorntimeupd.xyz по незашифрованному протоколу HTTP и принимал исполняемые файлы без проверки цифровой подписи. Любой, кто получил бы контроль над этим доменом, мог бы подменить трафик и запустить код с правами SYSTEM в Windows и root в macOS.

Сам Popcorn Time в своё время прославился интерфейсом в духе Netflix, через который можно было смотреть пиратский контент прямо в приложении. Проект закрыли по юридическим причинам, позже он возродился уже как легальный сервис, но под его именем успели расплодиться форки вроде Time4Popcorn, быстро набравшие миллионы пользователей.

Как действовали исследователи

Eye Security зарегистрировала брошенный домен обновлений и обнаружила масштаб проблемы: к нему обращалось до 3 млн клиентов на Windows и 350 тыс. на macOS. Соединения шли не только от домашних провайдеров, но и из корпоративных, государственных и военных сетей. При этом никто, похоже, приложением активно не пользовался — его просто однажды установили и забыли.

«Если бы мы могли отправить обновление, мы потенциально получили бы выполнение кода на миллионах систем», — отмечают в Eye Security, подчёркивая, что в чужих руках последствия были бы катастрофическими. На всякий случай исследователи зарегистрировали ещё 14 связанных доменов.

С ноября 2025 года по март 2026-го компания использовала ту же уязвимость во благо: через механизм обновлений она разослала код, который останавливал и отключал модуль обновления. Полезная нагрузка не собирала данные о хостах, не вела телеметрию и ничего не удаляла — всё оставалось в правовом поле. Правда, нагрузку пришлось доработать, чтобы её не блокировали антивирусы, срабатывавшие на отключение службы.

В итоге было зафиксировано 2 млн загрузок исправления, а к 1 марта число обращений к домену упало на 98%. Управление доменом затем передали некоммерческой организации The Shadowserver Foundation.

Риск сохраняется

Полностью угрозу снять не удалось. Пользователи Android остаются уязвимыми: установка обновления там требует участия человека, поэтому дистанционно отключить модуль не вышло. Кроме того, Time4Popcorn работает на крайне устаревшем движке Chrome образца 2014 года без песочницы, что само по себе открывает путь для атак. Лучшее, что могут сделать пользователи, — полностью удалить программу со своих устройств.

Источник: Bleeping Computer