С ноября 2025-го по март 2026 года нидерландская компания Eye Security отправила свыше 2 млн обновлений на компьютеры, которыми не владела. Обновление выключало уязвимый фоновый механизм Time4Popcorn — заброшенной копии Popcorn Time. По оценке Eye, захвативший один из забытых интернет-адресов обновления злоумышленник мог устанавливать программы на подключавшиеся к нему устройства с правами SYSTEM в Windows или root на Mac.
Обновление Eye отключало только Updater: файлы оно не удаляло и данные пользователей не собирало. Само приложение Popcorn Time от этого безопасным не стало.
Исходный Popcorn Time появился примерно десять лет назад и позволял смотреть пиратские фильмы и сериалы через BitTorrent. Проект закрылся в 2014 году, но под тем же названием продолжили выходить копии. Уязвимость нашли в Time4Popcorn. Отдельный легальный проект, взявший название Popcorn Time в начале 2025 года, к этому программному обеспечению отношения не имеет.
Eye обнаружила проблему во время обычной проверки сети клиента. Файл Updater.exe на одном из ноутбуков снова и снова обращался к незарегистрированному домену. Компания зарегистрировала адрес, чтобы выяснить, какие устройства к нему подключаются: поток достигал примерно 50 запросов в секунду. Eye назвала ответные действия Operation IXIM и рассказала о них в публикации и на конференции 22 октября.
За полгода запросы принесли более 3,8 млн разных аппаратных идентификаторов. Они плохо подходили для точного подсчёта: некоторые компьютеры Windows использовали одинаковый ID, а у части Mac он менялся. Eye оценила число затронутых устройств в 2,5–3 млн компьютеров Windows и 250–350 тыс. Mac.
Updater запускался вместе с компьютером, проверял наличие новых версий по незашифрованному соединению и устанавливал полученное, не проверяя отправителя. Поскольку адреса, к которым он обращался, были заброшены, зарегистрировавший нужный домен мог передать программу всем продолжающим обращаться к нему устройствам. В таком случае злоумышленник получил бы возможность установить шифровальщик, похитить сохранённые пароли или включить компьютеры в ботнет.
Eye изучила выборку адресов и обнаружила среди пользователей домашние устройства по всему миру, а также компьютеры в государственных, военных и корпоративных сетях. Компания предупредила, что по этой выборке «трудно делать выводы». Уязвимость раскрыли в июне; ей присвоен номер CVE-2026-30612. Агентство кибербезопасности США CISA оценило её в 9,8 балла из 10. Затронуты версии Windows до 6.2.1.18 включительно, Mac до 6.2.1.17 и Android до 3.5.0.173.
Исправлять программу было некому, поэтому после консультации с юристами Eye использовала сам Updater, чтобы разослать команду на его отключение. Компания сравнила это с Operation Ladybird: в 2021 году нидерландская полиция отправила заражённым Emotet компьютерам обновление, отключавшее вредоносную программу. Но есть разница: пользователи Popcorn Time сами установили приложение. «Но никто из них не выбирал годами держать в фоне забытый механизм обновления», — заявила Eye.
Вскоре после начала рассылки кто-то загрузил обновление на VirusTotal, после чего антивирусы стали помечать его как вредоносное: программа действительно отключала службу Windows. Если защита блокировала файл, уязвимый Updater оставался активным. Eye переработала обновление, пока его не продолжил отмечать только один сканер. К декабрю 2025 года компания обновила более миллиона систем и сократила трафик к контролируемым адресам примерно на 90%. К 1 марта рассылалось около 5 тыс. обновлений в день, на 98% меньше прежнего уровня. Eye сочла остаточный поток слишком малым, чтобы заинтересовать оператора ботнета, и остановила кампанию. Всего она отправила более 2 млн загрузок обновления.
В конце марта Eye передала 15 контролируемых доменов некоммерческой организации Shadowserver Foundation, которая выводит из обращения заброшенные и вредоносные адреса. Регистрация popcorntimeupd[.]xyz указывает на sinkhole-серверы Shadowserver; передача датирована 20 марта 2026 года. Другие адреса компания не контролировала, и они остались у сторонних владельцев. Eye не нашла признаков, что через них кто-либо распространял код: зарегистрированные другими адреса были припаркованы или выставлены на продажу. На 23 октября 2026 года CVE-2026-30612 не значилась в каталоге CISA известных эксплуатируемых уязвимостей.
Отключение Updater не устраняет другие риски. По данным Eye, приложение использует браузерный движок 2014 года с выключенной песочницей безопасности, загружает содержимое через незашифрованные соединения и обращается к другим заброшенным доменам. Eye зарегистрировала такие адреса и показала, что через них можно было бы запускать код на каждом устройстве, открывшем приложение. Компания этого не делала, но создала работающий прототип атаки. Поэтому её совет пользователям — удалить Popcorn Time.
Если приложение всё же осталось, Eye приводит команды для ручного отключения механизма обновления. В Windows нужно выполнить
Сетевым администраторам стоит проверить наличие Updater.exe в Windows и PT.updd на Mac, а также поискать соединения с доменами из публикации Eye. Там перечислены все 20 адресов и соответствующие хеши файлов.
Изображение носит иллюстративный характер
Обновление Eye отключало только Updater: файлы оно не удаляло и данные пользователей не собирало. Само приложение Popcorn Time от этого безопасным не стало.
Исходный Popcorn Time появился примерно десять лет назад и позволял смотреть пиратские фильмы и сериалы через BitTorrent. Проект закрылся в 2014 году, но под тем же названием продолжили выходить копии. Уязвимость нашли в Time4Popcorn. Отдельный легальный проект, взявший название Popcorn Time в начале 2025 года, к этому программному обеспечению отношения не имеет.
Eye обнаружила проблему во время обычной проверки сети клиента. Файл Updater.exe на одном из ноутбуков снова и снова обращался к незарегистрированному домену. Компания зарегистрировала адрес, чтобы выяснить, какие устройства к нему подключаются: поток достигал примерно 50 запросов в секунду. Eye назвала ответные действия Operation IXIM и рассказала о них в публикации и на конференции 22 октября.
За полгода запросы принесли более 3,8 млн разных аппаратных идентификаторов. Они плохо подходили для точного подсчёта: некоторые компьютеры Windows использовали одинаковый ID, а у части Mac он менялся. Eye оценила число затронутых устройств в 2,5–3 млн компьютеров Windows и 250–350 тыс. Mac.
Updater запускался вместе с компьютером, проверял наличие новых версий по незашифрованному соединению и устанавливал полученное, не проверяя отправителя. Поскольку адреса, к которым он обращался, были заброшены, зарегистрировавший нужный домен мог передать программу всем продолжающим обращаться к нему устройствам. В таком случае злоумышленник получил бы возможность установить шифровальщик, похитить сохранённые пароли или включить компьютеры в ботнет.
Eye изучила выборку адресов и обнаружила среди пользователей домашние устройства по всему миру, а также компьютеры в государственных, военных и корпоративных сетях. Компания предупредила, что по этой выборке «трудно делать выводы». Уязвимость раскрыли в июне; ей присвоен номер CVE-2026-30612. Агентство кибербезопасности США CISA оценило её в 9,8 балла из 10. Затронуты версии Windows до 6.2.1.18 включительно, Mac до 6.2.1.17 и Android до 3.5.0.173.
Исправлять программу было некому, поэтому после консультации с юристами Eye использовала сам Updater, чтобы разослать команду на его отключение. Компания сравнила это с Operation Ladybird: в 2021 году нидерландская полиция отправила заражённым Emotet компьютерам обновление, отключавшее вредоносную программу. Но есть разница: пользователи Popcorn Time сами установили приложение. «Но никто из них не выбирал годами держать в фоне забытый механизм обновления», — заявила Eye.
Вскоре после начала рассылки кто-то загрузил обновление на VirusTotal, после чего антивирусы стали помечать его как вредоносное: программа действительно отключала службу Windows. Если защита блокировала файл, уязвимый Updater оставался активным. Eye переработала обновление, пока его не продолжил отмечать только один сканер. К декабрю 2025 года компания обновила более миллиона систем и сократила трафик к контролируемым адресам примерно на 90%. К 1 марта рассылалось около 5 тыс. обновлений в день, на 98% меньше прежнего уровня. Eye сочла остаточный поток слишком малым, чтобы заинтересовать оператора ботнета, и остановила кампанию. Всего она отправила более 2 млн загрузок обновления.
В конце марта Eye передала 15 контролируемых доменов некоммерческой организации Shadowserver Foundation, которая выводит из обращения заброшенные и вредоносные адреса. Регистрация popcorntimeupd[.]xyz указывает на sinkhole-серверы Shadowserver; передача датирована 20 марта 2026 года. Другие адреса компания не контролировала, и они остались у сторонних владельцев. Eye не нашла признаков, что через них кто-либо распространял код: зарегистрированные другими адреса были припаркованы или выставлены на продажу. На 23 октября 2026 года CVE-2026-30612 не значилась в каталоге CISA известных эксплуатируемых уязвимостей.
Отключение Updater не устраняет другие риски. По данным Eye, приложение использует браузерный движок 2014 года с выключенной песочницей безопасности, загружает содержимое через незашифрованные соединения и обращается к другим заброшенным доменам. Eye зарегистрировала такие адреса и показала, что через них можно было бы запускать код на каждом устройстве, открывшем приложение. Компания этого не делала, но создала работающий прототип атаки. Поэтому её совет пользователям — удалить Popcorn Time.
Если приложение всё же осталось, Eye приводит команды для ручного отключения механизма обновления. В Windows нужно выполнить
sc.exe stop "Update service", а затем sc.exe config "Update service" start= disabled. На Mac используется launchctl unload -w /Library/LaunchDaemons/PT.updd.plist. В версии для Android Updater встроен в приложение и отдельно не отключается; он устанавливает обновления только после нажатия пользователя. Eye не рассылала обновления на Android, а единственное решение для этой платформы — удалить приложение. Сетевым администраторам стоит проверить наличие Updater.exe в Windows и PT.updd на Mac, а также поискать соединения с доменами из публикации Eye. Там перечислены все 20 адресов и соответствующие хеши файлов.
