Više od dva miliona uređaja dobilo zaštitu od Popcorn Time ažurera
Holandska kompanija Eye Security je od novembra 2025. do marta 2026. poslala više od dva miliona ažuriranja uređajima sa Time4Popcorn softverom kako bi isključila njegov pozadinski ažurer. Ranjiivost CVE-2026-30612, kojoj CISA dodeljuje ocenu 9,8 od 10, pogađa Time4Popcorn za Windows do verzije 6.2.1.18, macOS do 6.2.1.17 i Android do 3.5.0.173.
Ažurer je pri pokretanju računara pokušavao da kontaktira napuštene web adrese. Na Windowsu je radio sa SYSTEM privilegijama, a na macOS-u kao root, preuzimao je sadržaj nešifrovanom vezom i nije proveravao identitet pošiljaoca. Ko god bi registrovao odgovarajući domen mogao je da isporuči program uređajima koji mu se i dalje obraćaju.
Od rutinske provere do operacije IXIM
Eye Security je problem otkrio tokom lova na pretnje, kada je na klijentovom laptopu primetio Updater.exe koji pokušava da pristupi neregistrovanoj adresi. Po registraciji adrese, firma je zabeležila približno 50 zahteva u sekundi. Tokom šest meseci pristiglo je više od 3,8 miliona različitih hardverskih identifikatora.
Pošto identifikatori nisu pouzdana mera broja računara, procena je naknadno korigovana na 2,5 do 3 miliona Windows računara i 250.000 do 350.000 Mac uređaja. Eye Security je operaciju nazvao Operation IXIM i predstavio je 22. oktobra na konferenciji Hack.lu.
Ažuriranje koje zaustavlja sam ažurer
Kako više nije postojala kompanija koja bi objavila zvaničnu zakrpu, Eye Security je nakon pravnog savetovanja isporučio ažuriranje sa jednom funkcijom: zaustavlja i onemogućava ažurer. Ažuriranje ne briše fajlove i ne prikuplja podatke. Prvi pokušaji bili su označavani kao malver od pojedinih antivirusnih alata, jer program gasi Windows servis, pa je paket prilagođen dok ga je nastavio označavati samo jedan skener.
Do decembra 2025. ažurirano je više od milion sistema, a saobraćaj prema kontrolisanim adresama smanjen je za oko 90 odsto. Do 1. marta dnevno je slato približno 5.000 ažuriranja, uz pad saobraćaja od 98 odsto. Nakon završetka akcije, Eye Security je 15 domena predao organizaciji Shadowserver Foundation, koja ih drži van domašaja potencijalnih zloupotreba.
Gašenje servisa nije potpuna sanacija
Time4Popcorn aplikacija ostaje rizična i bez aktivnog ažurera. Eye Security navodi da koristi pregledački pogon iz 2014. sa isključenim bezbednosnim sandboxom, učitava sadržaj preko nešifrovanih veza i oslanja se na druge napuštene domene. Firma je napravila funkcionalni dokaz koncepta koji pokazuje da bi se preko tih adresa mogao izvršiti kod na uređajima koji otvore aplikaciju.
Na Androidu ažurer nije moguće zasebno isključiti i Eye Security nije slao ažuriranja na te uređaje, jer se instalacija prihvata korisničkom radnjom. Za Windows i macOS administratori mogu proveriti prisustvo fajlova Updater.exe i PT.updd, kao i mrežni saobraćaj prema domenima koje je identifikovala firma. Praktičan poslovni zaključak je da treba ukloniti Time4Popcorn, evidentirati preostale instalacije i iz mreža ukloniti napušteni softver koji zadržava visoke privilegije.