Eye Security отключила опасный апдейтер Popcorn Time на 2 млн устройств
Нидерландская компания Eye Security отправила более 2 млн обновлений для отключения фонового апдейтера Time4Popcorn, заброшенной копии Popcorn Time. По оценке исследователей, уязвимый компонент работал на 2,5–3 млн компьютеров Windows и 250–350 тыс. Mac; проблема получила идентификатор CVE-2026-30612 и оценку 9,8 из 10 от CISA.
Операцию назвали IXIM. Она началась после того, как во время поиска угроз специалисты заметили на ноутбуке клиента процесс Updater.exe, пытавшийся обратиться к незарегистрированному веб-адресу. Eye Security зарегистрировала адрес и стала получать около 50 запросов в секунду.
Почему забытый апдейтер был опасен
За шесть месяцев инфраструктура Eye Security получила более 3,8 млн различных аппаратных идентификаторов. Такой подсчёт оказался неточным: некоторые Windows-компьютеры использовали один идентификатор, а на Mac он мог меняться. Поэтому компания пересчитала число потенциально затронутых устройств.
Апдейтер запускался вместе с Windows и macOS, проверял обновления по незашифрованному соединению и устанавливал полученный код без проверки отправителя. При этом он обладал правами SYSTEM в Windows и root в macOS. Регистрация нужного заброшенного домена могла позволить постороннему отправить программу всем устройствам, которые продолжали обращаться к нему.
Eye Security указывает, что такой доступ мог быть использован для установки программы-вымогателя, кражи сохранённых паролей или включения компьютера в ботнет. Компания видела подключения домашних пользователей, а также адреса из государственных, военных и корпоративных сетей, но отдельно подчеркнула, что делать уверенные выводы о принадлежности систем по этим данным нельзя.
Как проходило отключение
Разработчика Time4Popcorn уже нет, и исправления для продукта не ожидалось. После юридической консультации Eye Security решила использовать механизм обновления для остановки самого апдейтера. Отправленный пакет только останавливал и отключал службу, ничего не удалял и не собирал данные.
Первоначально обновление начали распознавать антивирусные движки: с технической точки зрения оно отключало службу Windows. Eye Security изменила пакет так, чтобы не оставлять уязвимый компонент активным из-за блокировки обновления. К декабрю 2025 года компания обновила более 1 млн систем и сократила трафик к своим адресам примерно на 90%.
К 1 марта число отправляемых обновлений снизилось примерно до 5 тыс. в день, что означало сокращение трафика на 98%. После этого Eye Security остановила операцию, посчитав остаточный масштаб недостаточно интересным для оператора ботнета, и в конце марта передала 15 контролируемых доменов Shadowserver Foundation. Часть адресов осталась у других владельцев, поэтому обращения к ним по-прежнему несут риск.
Что делать пользователям и администраторам
Отключение апдейтера не делает Time4Popcorn безопасным. По данным Eye Security, приложение использует браузерный движок 2014 года с отключённой песочницей, загружает контент по незашифрованным соединениям и обращается к другим заброшенным адресам. Исследователи создали рабочую демонстрацию возможности выполнить код через такую инфраструктуру, хотя сами этого не делали.
Безопасным шагом остаётся полное удаление приложения. На Android апдейтер встроен в программу, отдельно отключить его нельзя, поэтому удаление — единственный вариант. Для корпоративной проверки стоит искать файлы Updater.exe в Windows и PT.updd в macOS, а также сопоставлять сетевые обращения с перечнем доменов и хешей, опубликованным Eye Security. Мы рекомендуем включить эти индикаторы в проверку конечных точек и удалить Time4Popcorn с обнаруженных устройств.