Исследователи отключили механизм обновления Time4Popcorn из-за угрозы ботнета
Изображение: OpenAI
Исследователи Eye Security удалённо отключили механизм обновления Time4Popcorn, ответвления торрент-клиента Popcorn Time, из-за уязвимости, позволявшей захватить устройства пользователей и создать ботнет, сообщает The Verge. По данным компании, подготовленное для этого обновление скачали более 2 млн раз.
Уязвимость CVE-2026-30612 затрагивала механизм обновления в версиях для Windows и macOS: он обращался к заброшенному домену по незашифрованному HTTP и принимал исполняемые файлы без проверки цифровой подписи. Контроль над доменом позволял запускать код с правами SYSTEM в Windows и root в macOS. Точное число устройств под угрозой неизвестно, однако к домену обновлений подключались до 3 млн клиентов на Windows и 350 тыс. на macOS, в том числе из корпоративных, государственных и военных сетей.
Исследователи зарегистрировали домен и через него разослали код, отключающий механизм обновления: по их словам, альтернативой было «ничего не делать», а сам механизм обновления «ничего полезного не делал и лишь создавал риск для пользователей». Он не удалял файлы и не собирал данные с компьютеров. В марте 2026 года Eye Security прекратила рассылку и передала использованные домены некоммерческой организации Shadowserver Foundation.
После загрузки кода в VirusTotal антивирусы начали помечать его как вредоносный и блокировать. В результате уязвимый механизм обновления продолжал работать. Исследователям пришлось изменить свой код, чтобы обойти блокировки.
Исследователи предупредили, что риск полностью не устранён. На Android исследователи не отключали механизм обновления: установка требует действий пользователя. Кроме того, само приложение использует движок Chrome 2014 года без изоляции в песочнице, который также может стать целью атаки. Пользователям лучше полностью удалить приложение.
