Eater
Onderzoekers hebben op afstand een kwetsbare updater uitgeschakeld in de verlaten Time4Popcorn-app, een fork van de Popcorn Time-BitTorrentclient. Daarmee is een beveiligingslek gedicht dat aanvallers in staat had kunnen stellen om kwaadaardige code met verhoogde rechten uit te voeren op miljoenen computers.
De kwetsbaarheid, geregistreerd als CVE-2026-30612, treft Windows- en macOS-updaters die via onversleutelde HTTP contact maakten met het verlaten domein van de app, popcorntimeupd.xyz, en uitvoerbare bestanden accepteerden zonder digitale handtekeningen te controleren.
Iedereen die controle over het update-domein had gekregen, kon HTTP-verkeer manipuleren en code uitvoeren als SYSTEM op Windows en als root op macOS.
De Popcorn Time-app stond bekend om een Netflix-achtige interface die BitTorrent-downloads integreerde, waardoor gebruikers illegale content direct in de app konden bekijken.
Het project werd om juridische redenen stopgezet, maar later opnieuw gelanceerd als een legitieme app voor contentstreaming. Toch verschenen forks zoals Time4Popcorn onder de naam Popcorn Time, waarna het platform snel miljoenen gebruikers aantrok.
Onderzoekers van Eye Security ontdekten het beveiligingsrisico nadat zij het domein popcorntimeupd.xyz hadden geregistreerd. Zij zagen tot 3 miljoen Windows-clients en 350.000 macOS-clients verbinding maken met Time4Popcorn.
De verbindingen kwamen van particuliere internetproviders, maar ook van zakelijke, overheids- en militaire netwerken. Geen van de gebruikers leek de app echter actief te gebruiken, wat erop wijst dat deze ooit is geïnstalleerd en vervolgens vergeten.
“Als we een update hadden kunnen versturen, hadden we mogelijk code kunnen uitvoeren op miljoenen systemen,” merkt Eye Security op. Het bedrijf voegt daaraan toe dat “de impact ernstig zou zijn geweest als dit in verkeerde handen was gevallen.”
Na deze ontdekking registreerden de onderzoekers nog 14 extra domeinen die aan de dienst waren gekoppeld.
De systemen beveiligen
Tussen november 2025 en maart 2026 gebruikte Eye het kwetsbare update-mechanisme om herstelcode te verspreiden die de updater stopzette en uitschakelde.
Hun payload verzamelde geen hostgegevens of telemetrie en verwijderde geen bestanden op de computers van gebruikers. Daarmee bleef hun handelen volledig binnen een legale context.
Eye legt uit dat het de payload tijdens het testen moest aanpassen om antivirusprogramma’s te omzeilen, omdat die de code markeerden toen die een service uitschakelde.
Na het uitrollen van de herstelactie registreerde Eye 2 miljoen downloads van updates. Op 1 maart van dit jaar waren de verzoeken aan het update-domein met 98 procent gedaald.
Na de succesvolle afronding van de hersteloperatie werd het eigendom van de domeinen overgedragen aan de non-profit beveiligingsorganisatie The Shadowserver Foundation.
Ondanks dit succes waarschuwen de onderzoekers dat het risico voor gebruikers van de app niet volledig verdwenen is.
Ten eerste blijven Android-gebruikers kwetsbaar, omdat het installeren van een update gebruikersinteractie vereist en onderzoekers de updater op het mobiele platform niet op afstand konden uitschakelen.
Ten tweede gebruikt de Time4Popcorn-app een ernstig verouderde Chrome-engine uit 2014, zonder sandboxbeveiliging, die mogelijk misbruikt kan worden bij aanvallen.
De beste oplossing is dat gebruikers de software volledig van hun systeem verwijderen.
TeJu
Girev