Между ноември 2025 г. и март 2026 г. нидерландската компания за сигурност Eye Security разпространи повече от 2 милиона обновления към компютри, които не притежава, за да изключи фонов модул за обновяване, за който заяви, че е можел да позволи на външен атакуващ да поеме контрол над машината.

Модулът за обновяване принадлежи на Time4Popcorn — изоставено копие на Popcorn Time, безплатно приложение за стрийминг на пиратски филми и сериали чрез BitTorrent.

Popcorn Time беше популярно преди около десетилетие, като оригиналният проект бе спрян през 2014 г., но няколко негови копия продължиха да функционират под същото име. Отделен, легитимен проект, който прие името Popcorn Time в началото на 2025 г., няма връзка с него.

От Eye Security, които наблюдават клиентски мрежи за заплахи, са открили модула за обновяване по време на рутинно търсене на заплахи: програма с име Updater.exe на лаптопа на един от клиентите непрекъснато се е опитвала да се свърже с уеб адрес, който вече не е бил регистриран.

Компанията е регистрирала адреса сама, за да проследи какво ще се свърже, при което са започнали да постъпват около 50 заявки в секунда. По-късно тя описа операцията, наречена Operation IXIM, в подробен доклад и лекция на конференцията Hack.lu на 22 октомври.

В продължение на шест месеца тези заявки са съдържали повече от 3,8 милиона различни хардуерни идентификатора. Идентификаторите са се оказали ненадежден начин за преброяване на машините, тъй като някои Windows компютри са споделяли един и същ, а някои компютри Mac са променяли своя, поради което Eye коригира оценката си на между 2,5 и 3 милиона компютри с Windows и между 250 000 и 350 000 устройства с Mac.

Модулът за обновяване е работил във фонов режим на Windows и Mac от момента на стартиране на компютъра. Той е проверявал за нови версии през некриптирана връзка и е инсталирал всичко, което му бъде изпратено, с най-високото ниво на привилегии — SYSTEM в Windows и root в Mac — без да проверява изпращача.

Тъй като уеб адресите, към които се е обръщал, са били изоставени, според Eye всеки, който регистрира точния домейн, е можел да достави собствена програма на всяка машина, която все още се свързва с него.

На машина с подобен достъп атакуващ би могъл да инсталира ransomware, да открадне запазени пароли или да включи компютъра в ботнет, посочват от Eye. При картографиране на извадка от свързващите се адреси компанията е забелязала домашни потребители по целия свят, както и машини в правителствени, военни и корпоративни мрежи, макар да допълва, че е „трудно да се правят категорични заключения“ от това.

Eye разкри уязвимостта, обозначена като CVE-2026-30612, през юни. Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) ѝ дава оценка 9,8 от 10 по скалата за критичност. Тя засяга три версии на софтуера Time4Popcorn:

  • Windows, до 6.2.1.18 включително
  • Mac, до 6.2.1.17 включително
  • Android, до 3.5.0.173 включително

Обръщане на модула за обновяване срещу самия него

След като няма останала компания, която да отстрани уязвимостта, и липсва официална корекция за сигурност, Eye решава да използва модула за обновяване срещу самия него. След консултация с юристи компанията предоставя на машините обновление, което прави само едно: спира и забранява модула за обновяване, без да изтрива файлове или да събира информация.

Eye сравнява тази стъпка с операция Ladybird от 2021 г., когато нидерландската полиция изпрати обновление до компютри, заразени с ботнета Emotet, за да деактивира зловредния софтуер на тях.

Разликата, според Eye, е, че жертвите на Emotet никога не са избирали да бъдат заразени, докато потребителите на Popcorn Time сами са инсталирали приложението. Въпреки това от компанията отбелязват: „никой от тях не е избирал забравен модул за обновяване да работи във фонов режим с години“.

Скоро след началото на кампанията някой качва файла на Eye в платформата VirusTotal и антивирусните програми започват да го засичат като зловреден софтуер — разбираема реакция за програма, която спира системна услуга на Windows. Тъй като всеки защитен продукт, който го е блокирал, е оставял уязвимия модул активен, Eye преработва обновлението, докато само един скенер продължава да го обозначава като заплаха.

До декември 2025 г. Eye вече е обновила над 1 милион системи и е намалила трафика към своите адреси с около 90 процента. Към 1 март тя изпраща около 5 000 обновления на ден, което представлява 98% спад. Преценявайки, че оставащите бройки са твърде малко, за да привлекат оператор на ботнет, Eye прекратява кампанията, след като общо е изпратила над 2 милиона пакета за обновяване.

В края на март Eye прехвърля контролираните 15 уеб адреса на фондацията Shadowserver Foundation — организация с нестопанска цел, която изважда от обращение изоставени и злонамерени домейни, така че те да се управляват от доверена страна.

Публичните регистри за един от тях, popcorntimeupd[.]xyz, вече сочат към sinkhole сървърите на Shadowserver с дата на трансфер 20 март 2026 г. Други адреси, които модулът търси, никога не са били под контрола на Eye и остават притежание на външни лица, посочват от компанията, така че машините, които осъществяват контакт с тях, все още са изложени на риск.

От Eye не откриват признаци някой друг да е разпространявал зловреден код през тези адреси: вече регистрираните от трети лица домейни са били паркирани или обявени за продажба, без да подават обновления към свързващите се машини. Към 23 октомври 2026 г. уязвимостта не е включена в каталога на CISA за известни експлоатирани уязвимости (KEV).

Какво трябва да направят потребителите на Popcorn Time

Изключването на модула за обновяване не прави приложението безопасно. От Eye поясняват, че Popcorn Time работи с браузърен енджин от 2014 г. с изключена защитна изолирана среда, зарежда съдържание през некриптирани връзки и извлича код от други изоставени уеб адреси.

Eye регистрира и тези изоставени адреси, което по техни думи би позволило изпълнение на собствен код на всяка машина, отворила приложението. Те не са направили това, но са разработили работеща демонстрация на концепцията (PoC), което доказва реалния риск. Обновлението модифицира единствено фоновия компонент, поради което останалата част от приложението остава опасна за всеки, който продължава да използва Popcorn Time.

Препоръката на Eye е цялостно деинсталиране на Popcorn Time. Модулът за обновяване може да бъде изключен и ръчно: в Windows чрез две команди, които спират и забраняват услугата „Update service“, а в Mac — с команда, която прекратява помощния процес PT.updd. Премахването на приложението остава по-сигурният вариант, тъй като спирането на модула оставя останалите рискови компоненти активни.

  • Windows: 
    sc.exe stop "Update service"
  • Windows: 
    sc.exe config "Update service" start= disabled
  • Mac: 
    launchctl unload -w /Library/LaunchDaemons/PT.updd.plist

При Android модулът за обновяване е вграден директно в самото приложение и не може да бъде спрян отделно, като инсталирането изисква потвърждение от потребителя, поради което Eye не е изпращала обновления към Android устройства. Премахването на приложението е единственото решение в този случай.

За проверка на локалните мрежи експертите по сигурност могат да търсят двата файла за обновяване — Updater.exe при Windows и PT.updd при Mac, както и мрежов трафик към адресите от анализа на Eye, където са изброени всички 20 домейна и съответните файлови хешове.