Potresti esserti dimenticato di Popcorn Time. Sfortunatamente, il suo sistema di aggiornamento non si è dimenticato del tuo dispositivo.
I ricercatori di sicurezza sono intervenuti per disabilitare un meccanismo di aggiornamento abbandonato in Time4Popcorn, una versione dell'app di streaming un tempo popolare. Se lasciato in esecuzione in background, l'aggiornamento avrebbe potuto consentire agli aggressori di prendere il controllo di Windows E Mac computer, anche se i loro proprietari non aprivano l'app da anni.
Eye Security stima che l'aggiornamento vulnerabile fosse presente su milioni di dispositivi in tutto il mondo, inclusi 2,5-3 milioni Windows computer e circa 250.000-350.000 Mac.
Popcorn Time ha reso la visione di film e serie TV tramite BitTorrent più simile alla navigazione su Netflix. Invece di costringere gli utenti a cercare i file torrent e ad aprirli in un client separato, ha integrato il processo in un'interfaccia familiare in stile streaming.
A causa delle preoccupazioni relative alla violazione del copyright e alle sue possibili conseguenze, gli sviluppatori originali abbandonarono il progetto poco dopo il suo lancio nel 2014. Tuttavia, poiché il codice sorgente era disponibile pubblicamente, altri sviluppatori poterono riprenderlo e creare le proprie versioni, note come fork.
Uno di questi era Time4Popcorn, distribuito anche con il nome "Popcorn Time". Questa condivisione del marchio è importante perché gli utenti potrebbero aver installato il software in questione senza mai vedere il nome Time4Popcorn.
Il problema in questione
Anche Time4Popcorn fu infine abbandonato. Tuttavia, la sua infrastruttura di aggiornamento rimase attiva e, a un certo punto, i domini associati al software divennero disponibili per la registrazione da parte di altri.
In altre parole, le persone che si occupavano della manutenzione del software se n'erano andate. La capacità del software di accettare istruzioni, però, era rimasta invariata. L'aggiornamento di Time4Popcorn utilizzava connessioni HTTP non crittografate e accettava aggiornamenti eseguibili senza verificare le firme digitali per accertarne l'autenticità. Pertanto, chiunque controllasse un dominio di aggiornamento o fosse in grado di manomettere il traffico non crittografato poteva fornire un proprio programma.
Questa combinazione ha creato una vulnerabilità di esecuzione di codice in remoto, identificata come CVE-2026-30612 , che potrebbe consentire a un utente malintenzionato di eseguire software dannoso su un dispositivo. Un malintenzionato non avrebbe bisogno di convincere qualcuno a guardare un film o a cliccare su un allegato sospetto. L'aggiornamento dimenticato potrebbe fare il lavoro al posto suo.
Sebbene anche Android sia stato colpito, gli utenti avevano un ulteriore livello di protezione. Il suo sistema di aggiornamento controllava la presenza di aggiornamenti all'apertura dell'applicazione, ma l'installazione di un APK fornito dall'attaccante richiedeva l'approvazione dell'utente. Non si trattava dello stesso percorso di acquisizione silenziosa in background che i ricercatori hanno trovato su Windows e macOS.
Cosa hanno fatto i ricercatori
Eye Security ha registrato un dominio di aggiornamento abbandonato e ha utilizzato il meccanismo vulnerabile per distribuire un aggiornamento che disabilitava l'aggiornamento stesso. Windows Il sistema ha interrotto e disabilitato il servizio; su macOS, ha impedito l'avvio del processo di aggiornamento. I ricercatori affermano che il loro intervento non ha eliminato i file degli utenti né raccolto dati relativi al sistema host.
Entro marzo 2026, Eye Security ha segnalato oltre due milioni di download della sua soluzione per disabilitare gli aggiornamenti automatici e un calo del 98% delle richieste di aggiornamento per i suoi domini. Più tardi, nello stesso mese, ha trasferito i 15 domini sotto il suo controllo alla fondazione no-profit Shadowserver Foundation .
I ricercatori non sono riusciti a disabilitare da remoto il Android aggiorna allo stesso modo. E l'applicazione desktop conteneva ancora altre debolezze, tra cui un obsoleto Chrome motore risalente al 2014 e protezioni sandbox disabilitate, che normalmente aiutano a contenere il codice dannoso.
Cosa devono fare gli utenti
Se hai utilizzato Popcorn Time anni fa, controlla i dispositivi su cui lo avevi installato. Non dare per scontato che, non utilizzando più un'applicazione, i suoi componenti in background abbiano smesso di funzionare.
- Controlla l'elenco delle applicazioni installate per Popcorn Time o Time4Popcorn. Presta particolare attenzione alle versioni più vecchie. Windows PC, Mac e Android dispositivi in cui potresti aver dimenticato di installarlo. La versione interessata è stata distribuita con entrambi i nomi.
- Rimuovi la vecchia applicazione. Non esiste alcun aggiornamento di sicurezza del fornitore per il software Time4Popcorn, ormai abbandonato. Disabilitare l'aggiornamento risolve una vulnerabilità, non le altre debolezze di sicurezza dell'applicazione.
- SU Windows e su macOS, verifica che l'aggiornamento in background non sia più in esecuzione. Eye Security identifica il Windows componente come
Updater.exe, normalmente all'interno di una cartella Popcorn Time sotto Program Files O Program Files (x86), in esecuzione tramite un servizio chiamato Update Service. Su macOS, il componente è/Library/PrivilegedHelperTools/PT.updd, con un demone di avvio a/Library/LaunchDaemons/PT.updd.plist. Suo consultivo Fornisce istruzioni per disabilitare questi componenti, se necessario. - Su Android , disinstalla l'app interessata anziché accettare la richiesta di aggiornamento. L'aggiornamento è parte integrante dell'applicazione principale e non può essere disabilitato facilmente separatamente.
- Utilizza una soluzione antimalware aggiornata e in tempo reale per rilevare e bloccare qualsiasi tentativo di installare malware sui tuoi dispositivi.
Come abbiamo visto di recente , i criminali informatici possono utilizzare gli aggiornamenti software per distribuire malware. Rimuovi le app abbandonate e verifica la presenza di eventuali aggiornamenti in background che potrebbero aver lasciato attivi.
Dalla segnalazione delle minacce alla loro rimozione.
I rischi per la sicurezza informatica non dovrebbero mai andare oltre un titolo di giornale. Proteggi i tuoi dispositivi dalle minacce scaricando Malwarebytes oggi stesso .
