Pesquisadores desativaram remotamente um atualizador vulnerável do Time4Popcorn, aplicativo descontinuado derivado do cliente BitTorrent Popcorn Time. A medida corrigiu uma falha de segurança que poderia permitir a execução de código malicioso com privilégios elevados em milhões de computadores.
A vulnerabilidade, identificada como
CVE-2026-30612
, afetava os atualizadores para Windows e macOS. Eles se conectavam ao domínio abandonado do aplicativo, popcorntimeupd.xyz, por HTTP sem criptografia e aceitavam arquivos executáveis sem verificar suas assinaturas digitais.
Quem controlasse o domínio de atualização poderia manipular o tráfego HTTP e executar código com privilégios de SYSTEM no Windows e de superusuário no macOS.
O Popcorn Time tinha uma interface no estilo da Netflix, integrada a downloads por BitTorrent. Com isso, os usuários podiam assistir a conteúdo ilegal diretamente no aplicativo.
O projeto original foi abandonado por razões legais, mas depois voltou como um aplicativo legítimo de transmissão de conteúdo. Ainda assim, surgiram versões derivadas, como o Time4Popcorn, que mantiveram o nome Popcorn Time e atraíram rapidamente milhões de usuários.
Pesquisadores da Eye Security descobriram o risco depois de registrar o domínio popcorntimeupd.xyz. Eles observaram até 3 milhões de conexões de clientes Windows e 350 mil de clientes macOS do Time4Popcorn.
As conexões vinham de provedores de internet residenciais e de redes corporativas, governamentais e militares. No entanto, nenhum dos usuários parecia estar usando o aplicativo ativamente, o que sugere que ele havia sido instalado e depois esquecido.
“Se pudéssemos enviar uma atualização, poderíamos potencialmente executar código em milhões de sistemas”, afirmou a Eye Security. A empresa acrescentou que “o impacto seria grave se isso caísse nas mãos erradas”.
Após a descoberta, os pesquisadores registraram outros 14 domínios associados ao serviço.
Entre novembro de 2025 e março de 2026, a Eye Security usou o mecanismo vulnerável de atualização para distribuir um patch que interrompia e desativava o atualizador.
Segundo a empresa, o patch não coletava dados nem informações de telemetria dos dispositivos e não apagava arquivos dos computadores dos usuários, mantendo a operação dentro dos limites legais.
A Eye Security explicou que precisou modificar o código durante os testes para evitar que produtos antivírus o bloqueassem por desativar um serviço.
Após distribuir o patch, a Eye Security contabilizou 2 milhões de downloads de atualizações. Até 01/03/2026, os pedidos enviados ao domínio de atualização haviam caído 98%.
Concluída a operação, o controle do domínio foi transferido para a organização sem fins lucrativos de segurança The Shadowserver Foundation.
Apesar do resultado, os pesquisadores alertaram que o risco não foi totalmente eliminado para os usuários do aplicativo.
Usuários de Android continuam expostos. Como a instalação de uma atualização exigiria uma ação do usuário, os pesquisadores não conseguiram desativar remotamente o atualizador nessa plataforma.
Além disso, o Time4Popcorn usa um mecanismo do Chrome extremamente desatualizado, de 2014, sem proteções de sandbox, que poderia ser explorado em ataques.
A melhor opção é remover completamente o aplicativo dos dispositivos.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...