Detalhes da vulnerabilidade de segurança
Pesquisadores da empresa Eye Security revelaram uma vulnerabilidade de segurança crítica, identificada pelo código CVE-2026-30612, no aplicativo Time4Popcorn, uma versão derivada do famoso software de compartilhamento de arquivos Popcorn Time. O problema reside no mecanismo de atualização do aplicativo, que se conectava a um domínio abandonado (popcorntimeupd.xyz) via protocolo HTTP não criptografado, aceitando arquivos executáveis sem verificar suas assinaturas digitais.
Essa falha concedia a qualquer entidade que controlasse o referido domínio a capacidade de manipular o tráfego de dados e executar códigos maliciosos com privilégios de SYSTEM em sistemas Windows e privilégios de root em sistemas macOS, colocando milhões de dispositivos em risco direto.
Processo de tratamento e neutralização
Após a descoberta dos riscos, a Eye Security registrou o domínio abandonado e outros 14 domínios associados ao serviço. Entre novembro de 2025 e março de 2026, os pesquisadores utilizaram o mesmo mecanismo de atualização para enviar um código de "correção" que interrompeu e desativou a ferramenta de atualização no aplicativo dos usuários. Os pesquisadores confirmaram que essa operação não coletou dados pessoais ou arquivos, limitando-se a fechar a vulnerabilidade de segurança.
Em 1º de março deste ano, as solicitações de conexão ao domínio de atualização caíram 98%, e a propriedade dos domínios foi posteriormente transferida para a fundação sem fins lucrativos The Shadowserver Foundation para garantir sua proteção contínua.
O que isso significa para os usuários?
Apesar do sucesso da operação de neutralização, os pesquisadores alertam que o risco não desapareceu completamente por vários motivos:
- Usuários de Android: As versões do aplicativo em smartphones continuam expostas ao risco, uma vez que as atualizações exigem interação manual do usuário, e os pesquisadores não conseguiram desativá-las remotamente.
- Motor de navegador antigo: O aplicativo utiliza um motor Chrome que remonta a 2014, carecendo de tecnologias de proteção modernas (Sandbox), o que o torna um alvo fácil para exploração.
- Aplicativos esquecidos: Os dados mostraram que milhões de dispositivos (incluindo redes governamentais e militares) estavam conectados ao serviço apesar de o aplicativo não estar sendo usado efetivamente, o que significa a existência de softwares antigos e não monitorados em dispositivos sensíveis.
Recomendação técnica: A única maneira de garantir a segurança é remover o aplicativo completamente de todos os sistemas imediatamente.