Você pode ter se esquecido do Popcorn Time. Infelizmente, o programa que o atualiza não se esqueceu do seu dispositivo.
Pesquisadores de segurança intervieram para desativar um mecanismo de atualização abandonado no Time4Popcorn, uma versão do aplicativo de streaming que já foi popular. Se deixado em execução em segundo plano, o atualizador poderia ter permitido que invasores assumissem o controle do aplicativo. Windows e Mac computadores, mesmo que seus proprietários não tivessem aberto o aplicativo há anos.
A Eye Security estima que o atualizador vulnerável estava presente em milhões de dispositivos em todo o mundo, incluindo 2,5 a 3 milhões de unidades. Windows computadores e cerca de 250.000 a 350.000 Macs.
O Popcorn Time fez com que assistir a filmes e séries de TV via BitTorrent se parecesse mais com navegar na Netflix. Em vez de obrigar os usuários a encontrar arquivos torrent e abri-los em um cliente separado, ele simplificou o processo em uma interface familiar de streaming.
Em meio a preocupações com a violação de direitos autorais e suas possíveis consequências, os desenvolvedores originais abandonaram o projeto pouco depois de seu lançamento em 2014. Mas, como seu código-fonte estava disponível publicamente, outros desenvolvedores puderam utilizá-lo e criar suas próprias versões, conhecidas como forks.
Um deles era o Time4Popcorn, que também era distribuído sob o nome "Popcorn Time". Essa marca compartilhada é importante porque as pessoas podem ter instalado o software afetado sem nunca terem visto o nome Time4Popcorn.
O problema em questão
O Time4Popcorn também acabou sendo abandonado. Mas sua infraestrutura de atualização foi deixada para trás e, em algum momento, os domínios associados ao software ficaram disponíveis para registro por terceiros.
Em outras palavras, as pessoas que mantinham o software haviam desaparecido. A capacidade do software de aceitar instruções, porém, não. O atualizador do Time4Popcorn usava conexões HTTP não criptografadas e aceitava atualizações executáveis sem verificar assinaturas digitais para confirmar sua autenticidade. Assim, alguém que controlasse um domínio de atualização ou fosse capaz de adulterar o tráfego não criptografado poderia fornecer seu próprio programa.
Essa combinação criou uma vulnerabilidade de execução remota de código, rastreada como CVE-2026-30612 , que poderia permitir que um invasor executasse software malicioso em um dispositivo. O invasor não precisaria persuadir alguém a assistir a um filme ou clicar em um anexo suspeito. O atualizador esquecido poderia fazer o trabalho por ele.
Embora Android também tenha sido afetado, os usuários contavam com uma camada extra de proteção. Seu atualizador verificava se havia atualizações quando o aplicativo era aberto, mas a instalação de um APK fornecido pelo invasor exigia que o usuário aprovasse a instalação. Não se tratava da mesma rota de tomada de controle silenciosa em segundo plano que os pesquisadores encontraram em Windows e macOS.
O que os pesquisadores fizeram
A Eye Security registrou um domínio de atualização abandonado e usou o mecanismo vulnerável para distribuir uma atualização que desativou o próprio atualizador. Windows No macOS, o sistema interrompeu e desativou o serviço; impediu que o processo de atualização fosse iniciado. Os pesquisadores afirmam que a intervenção não excluiu arquivos dos usuários nem coletou dados do sistema.
Em março de 2026, a Eye Security relatou mais de dois milhões de downloads de sua correção que desativava as atualizações automáticas, e as solicitações de atualização para seus domínios caíram 98%. Mais tarde naquele mês, transferiu os 15 domínios que controlava para a organização sem fins lucrativos Shadowserver Foundation .
Os pesquisadores não conseguiram desativar remotamente o Android atualizador da mesma forma. E o aplicativo para desktop ainda apresentava outras fragilidades, incluindo um obsoleto Chrome O motor gráfico data de 2014 e as proteções de sandbox, que normalmente ajudam a conter códigos maliciosos, foram desativadas.
O que os usuários devem fazer
Se você usou o Popcorn Time há alguns anos, verifique os dispositivos nos quais ele estava instalado. Não presuma que o fato de não usar mais um aplicativo signifique que seus componentes em segundo plano pararam de funcionar.
- Verifique sua lista de aplicativos instalados em busca de Popcorn Time ou Time4Popcorn. Preste atenção especial aos aplicativos mais antigos. Windows PCs, Macs e Android dispositivos nos quais você pode ter esquecido de instalá-lo. A versão modificada afetada foi distribuída com ambos os nomes.
- Remova a versão antiga do aplicativo. Não há atualizações de segurança do fornecedor para o software descontinuado Time4Popcorn. Desativar o atualizador resolve apenas uma vulnerabilidade, não as demais falhas de segurança do aplicativo.
- Sobre Windows No macOS, verifique se o atualizador em segundo plano não está mais em execução. A Eye Security identifica o Windows componente como
Updater.exe, normalmente dentro de uma pasta Popcorn Time em Program Files ou Program Files (x86), executado por meio de um serviço chamado Serviço de Atualização. No macOS, o componente é/Library/PrivilegedHelperTools/PT.updd, com um daemon de inicialização em/Library/LaunchDaemons/PT.updd.plist. Isso é consultivo Fornece instruções para desativar esses componentes, se necessário. - No Android , desinstale o aplicativo afetado em vez de aceitar uma solicitação de atualização dele. O atualizador faz parte do aplicativo principal e não pode ser desativado facilmente separadamente.
- Utilize uma solução antimalware atualizada e em tempo real para detectar e bloquear qualquer tentativa de instalação de malware em seus dispositivos.
Como vimos recentemente , os cibercriminosos podem usar atualizações de software para distribuir malware. Remova aplicativos abandonados e verifique se eles deixaram algum atualizador em segundo plano.
Desde a denúncia de ameaças até a sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos baixando Malwarebytes hoje mesmo .
