Уязвимость Time4Popcorn, заброшенного форка торрент-клиента Popcorn Time, потенциально давала захватить до 3 млн Windows-компьютеров и около 350 тыс. Mac через механизм обновления. Исследователи Eye Security перехватили бесхозную инфраструктуру раньше злоумышленников и удалённо отключили опасный апдейтер — показательная история для компаний, где старый клиент может годами тихо жить на рабочих станциях.
Проблема получила идентификатор CVE-2026-30612. Версии обновляющего компонента для Windows и macOS обращались к домену popcorntimeupd.xyz по незашифрованному HTTP, скачивали исполняемые файлы и не проверяли их цифровую подпись. Тот, кто контролировал бы этот домен либо мог подменить трафик между клиентом и сервером, получал возможность подсунуть собственный файл. На Windows он запускался бы с правами SYSTEM, на macOS — с правами root, сообщает BleepingComputer.
Time4Popcorn вырос из экосистемы Popcorn Time — приложения с интерфейсом в духе стримингового сервиса, которое находило и загружало контент через BitTorrent. Исходный проект закрывался из-за юридических претензий, затем появлялись новые варианты под знакомым именем. Для пользователей такая преемственность выглядела удобной: приложение установлено, каталог открывается, обновления приходят сами. Для безопасности это означало, что давно не поддерживаемый софт сохранил привилегированный канал доставки кода.
Eye Security зарегистрировала домен обновлений и увидела поток подключений: до 3 млн с Windows и 350 тыс. с macOS. Запросы шли не только от домашних провайдеров, но также из корпоративных, государственных и военных сетей. При этом признаков активного использования самого приложения исследователи не заметили. Вероятнее всего, Time4Popcorn когда-то поставили, забыли удалить, а его служба обновления продолжала исправно выходить в сеть. Для инвентаризации активов это неприятный, но знакомый сюжет: фактически неиспользуемая программа остаётся полноценной точкой входа.
С ноября 2025 года по март 2026-го исследователи использовали тот же небезопасный механизм, чтобы разослать защитный компонент. Он останавливал и отключал апдейтер, не собирал телеметрию, не удалял файлы и не отправлял сведения о хосте. В ходе тестов команде пришлось доработать код: антивирусы реагировали на попытку выключить системную службу. В итоге было загружено около 2 млн таких обновлений, а к 1 марта число запросов к домену сократилось на 98%.
После завершения операции домены передали некоммерческой организации The Shadowserver Foundation. Это снизило риск массовой атаки через известный адрес обновления, но не превратило старое ПО в безопасное. В частности, Android-версию нельзя было обезвредить без действий пользователя: обновление требует подтверждения на устройстве. Кроме того, само приложение использует крайне старый движок Chrome образца 2014 года без песочницы. Даже закрытый канал обновлений не устраняет уязвимости, которые могли остаться в коде клиента и его встроенном браузерном компоненте.
Для ИБ-команд уязвимость Time4Popcorn — повод искать не только актуальные CVE в утверждённом ПО, но и «археологию» на конечных точках: старые торрент-клиенты, утилиты с автозапуском, сервисы обновления, расширения и приложения без владельца. Полезно сопоставлять список установленного ПО с исходящими DNS- и HTTP-запросами, а не полагаться лишь на сведения пользователей. Для разработчиков вывод ещё прозаичнее: обновлятор, принимающий код по HTTP без проверки подписи, — это не технический долг, а готовый удалённый запуск кода.
Eye Security успела занять домены первой, однако рассчитывать на подобную удачу как на защитный контроль нельзя. Заброшенные приложения продолжают обращаться к прежним адресам годами, а их инфраструктура может сменить владельца за стоимость регистрации домена. Самый надёжный способ закрыть уязвимость Time4Popcorn на устройстве — удалить приложение и проверить, не остались ли его службы и задания автозапуска.
