Уязвимость обновления Time4Popcorn позволяла запускать код в Windows и macOS

Исследователи обнаружили уязвимость в заброшенном модуле обновления Time4Popcorn, закрытого форка Popcorn Time. Он обращался по незашифрованному HTTP к нескольким доменам, часть которых не была зарегистрирована или больше не предоставляла обновления. Получив контроль над доменами, злоумышленник мог доставлять код для выполнения с высокими привилегиями в Windows и правами root в macOS. Уязвимости присвоили идентификатор CVE-2026-30612. Исследователи использовали контроль над доменами, чтобы распространить обновление, отключающее модуль. По их данным, отправлено более двух миллионов загрузок, а к марту 2026 года число запросов к их доменам сократилось на 98%.

Исследование проводилось с ноября 2025 года по март 2026 года. За шесть месяцев исследователи зафиксировали более 3,8 млн значений аппаратных идентификаторов, но установили, что они не позволяют надёжно определять уникальные устройства. Некоторые образы ноутбуков HP использовали общие идентификаторы томов, тогда как изменение имён хостов в macOS или рандомизация сетевых адресов могли приводить к появлению новых идентификаторов. По оценке исследователей, количество устройств macOS было существенно завышено. Среди затронутых устройств были системы в корпоративных, государственных и военных сетях.

В Android проверка обновлений выполнялась при открытии приложения и требовала подтверждения для установки APK. Поэтому незаметно установить обновление на устройства Android было нельзя. Некоторые средства защиты конечных точек первоначально классифицировали обновление как вредоносное. Исследователи изменили исполняемый файл, чтобы сократить число срабатываний.

Отключение модуля обновления не устранило риски, связанные с самим приложением. Основной клиент использует движок Chrome 2014 года с отключённой песочницей, загружает контент по незашифрованному HTTP и обращается к заброшенным доменным именам, которые могут передавать пользователям JavaScript. Исследователи продемонстрировали выполнение JavaScript-кода calc.exe. Авторы отчёта рекомендуют удалить программное обеспечение.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.