En sårbarhet i Popcorn Time i den forlatte Time4Popcorn-varianten gjorde millioner av datamaskiner potensielt utsatt for ekstern kjøring av kode. Sikkerhetsforskere grep inn ved å ta kontroll over det utløpte oppdateringsdomenet og deaktivere de sårbare oppdateringskomponentene.
Sikkerhetsfeilen, registrert som CVE-2026-30612, påvirket programmets oppdateringsmekanismer for Windows og macOS. Disse komponentene lastet ned kjørbare filer via ukryptert HTTP uten å kontrollere de digitale signaturene deres.
Dermed kunne en angriper med kontroll over oppdateringsdomenet distribuere skadelig programvare med omfattende systemrettigheter.
Sårbarheten i Popcorn Time skyldtes en usikker oppdateringsfunksjon
Time4Popcorn oppsto som en forgrening av Popcorn Time, en strømmeapplikasjon som kombinerte et grensesnitt for å bla gjennom filmer med nedlastinger via BitTorrent.
Selv om utviklerne forlot denne varianten, fortsatte installerte kopier å kontakte det tidligere oppdateringsdomenet i bakgrunnen.
Oppdateringsfunksjonen stolte på kjørbare filer fra denne adressen uten å bekrefte ektheten deres. Dermed kunne noen som overtok domenet, potensielt kjøre kode med SYSTEM-rettigheter i Windows eller root-rettigheter i macOS.
Disse rettighetene ville gi skadelig programvare omfattende tilgang til berørte datamaskiner.
Forskere oppdaget millioner av klienttilkoblinger
Eye Security oppdaget sikkerhetsrisikoen etter å ha registrert det forlatte oppdateringsdomenet. Forskerne observerte deretter opptil tre millioner klienttilkoblinger fra Windows og 350 000 klienttilkoblinger fra macOS.
Trafikken kom fra private internettleverandører samt bedriftsnettverk, offentlige nettverk og militære nettverk.
Forskerne fant imidlertid ingen tydelige tegn på at folk aktivt brukte applikasjonen. I stedet tydet tilkoblingene på at glemte installasjoner fortsatte å kjøre oppdateringskomponentene sine.
Teamet registrerte deretter ytterligere 14 domener knyttet til tjenesten for å sikre flere deler av den forlatte infrastrukturen.
Sikkerhetstiltak deaktiverte den sårbare oppdateringstjenesten
Mellom november 2025 og mars 2026 brukte Eye Security den usikre oppdateringsmekanismen til å distribuere kode som stoppet og deaktiverte oppdateringsfunksjonen.
Ifølge forskerne samlet ikke tiltaket inn informasjon om vertsdatamaskinene eller telemetridata. Det slettet heller ingen filer fra brukernes datamaskiner.
Under testingen flagget antivirusprogrammer koden fordi den deaktiverte en tjeneste. Teamet endret derfor koden før distribusjonen ble fullført.
Eye Security registrerte omtrent to millioner nedlastinger av sikkerhetstiltaket. Samtidig falt antallet forespørsler til oppdateringsdomenet med 98 prosent innen 1. mars 2026.
Etter operasjonen overførte forskerne eierskapet til domenene til den ideelle organisasjonen Shadowserver Foundation.
Android-installasjoner og den utdaterte nettlesermotoren er fortsatt bekymringer
Til tross for den betydelige reduksjonen i oppdateringstrafikken løste ikke tiltaket alle sikkerhetsproblemene.
Android-installasjoner er fortsatt en bekymring fordi en oppdatering krever at brukeren selv foretar en handling. Forskerne kunne derfor ikke fjern deaktivere mobilversjonens oppdateringsfunksjon gjennom den samme prosessen.
Videre bruker Time4Popcorn en utdatert Chrome-motor fra 2014 og mangler sandkassebeskyttelse. Dette etterlater en separat potensiell angrepsflate selv etter at oppdateringsfunksjonen på datamaskiner er deaktivert.
Forskerne anbefaler å avinstallere Time4Popcorn fullstendig. Deaktivering av oppdateringstjenesten utbedrer én alvorlig sikkerhetssvakhet, men gjør ikke den forlatte applikasjonen sikker.
0 responses to “Sikkerhetssårbarhet i Popcorn Time satte millioner av datamaskiner i fare”