보안 취약점 세부 정보
Eye Security의 연구원들은 유명 파일 공유 프로그램인 Popcorn Time의 파생 버전인 Time4Popcorn 앱에서 CVE-2026-30612라는 식별 코드를 가진 치명적인 보안 취약점을 발견했습니다. 이 문제는 암호화되지 않은 HTTP 프로토콜을 통해 버려진 도메인(popcorntimeupd.xyz)에 연결하고 디지털 서명을 확인하지 않은 채 실행 파일을 수락하는 앱의 업데이트 메커니즘에 있습니다.
이 결함은 해당 도메인을 제어하는 주체가 데이터 트래픽을 조작하고 Windows 시스템에서는 SYSTEM 권한으로, macOS 시스템에서는 root 권한으로 악성 코드를 실행할 수 있게 하여 수백만 대의 기기를 직접적인 위험에 빠뜨렸습니다.
처리 및 무력화 과정
위험을 발견한 후 Eye Security는 해당 버려진 도메인과 서비스와 관련된 14개의 다른 도메인을 등록했습니다. 2025년 11월부터 2026년 3월까지 연구원들은 동일한 업데이트 메커니즘을 사용하여 사용자들의 앱에서 업데이트 도구를 중지하고 비활성화하는 '패치' 코드를 전송했습니다. 연구원들은 이 과정에서 개인 정보나 파일이 수집되지 않았으며, 오직 보안 취약점을 차단하는 데에만 국한되었다고 확인했습니다.
올해 3월 1일까지 업데이트 도메인에 대한 연결 요청은 98% 감소했으며, 이후 도메인 소유권은 지속적인 보호를 보장하기 위해 비영리 단체인 The Shadowserver Foundation으로 이전되었습니다.
사용자에게 미치는 영향
무력화 작업의 성공에도 불구하고 연구원들은 다음과 같은 이유로 위험이 완전히 사라진 것은 아니라고 경고합니다:
- Android 사용자: 스마트폰용 앱 버전은 여전히 위험에 노출되어 있습니다. 업데이트 시 사용자의 수동 상호 작용이 필요하며, 연구원들이 원격으로 이를 비활성화할 수 없었기 때문입니다.
- 오래된 브라우저 엔진: 이 앱은 2014년형 Chrome 엔진을 사용하며, 최신 보안 기술(샌드박스)이 결여되어 있어 공격 대상이 되기 쉽습니다.
- 방치된 앱: 데이터에 따르면 수백만 대의 기기(정부 및 군사 네트워크 포함)가 앱을 실제로 사용하지 않음에도 불구하고 서비스에 연결되어 있었으며, 이는 민감한 기기에 모니터링되지 않는 오래된 소프트웨어가 존재함을 의미합니다.
기술적 권장 사항: 보안을 보장하는 유일한 방법은 모든 시스템에서 앱을 즉시 완전히 삭제하는 것입니다.