Детали уязвимости
Исследователи из компании Eye Security обнаружили критическую уязвимость под кодом CVE-2026-30612 в приложении Time4Popcorn, которое является производной версией популярной программы для обмена файлами Popcorn Time. Проблема заключалась в механизме обновления приложения, который подключался к заброшенному домену (popcorntimeupd.xyz) по незашифрованному протоколу HTTP и принимал исполняемые файлы без проверки их цифровых подписей.
Этот дефект давал любой стороне, контролирующей указанный домен, возможность перехватывать трафик и выполнять вредоносный код с правами SYSTEM в системах Windows и правами root в системах macOS, что ставило миллионы устройств под прямую угрозу.
Процесс устранения и нейтрализации
После обнаружения рисков компания Eye Security зарегистрировала заброшенный домен и 14 других доменов, связанных с сервисом. В период с ноября 2025 года по март 2026 года исследователи использовали тот же механизм обновления для отправки «исправляющего» программного кода, который остановил и отключил инструмент обновления в приложении у пользователей. Исследователи подтвердили, что этот процесс не собирал никаких личных данных или файлов, а ограничился лишь закрытием уязвимости.
К первому марта текущего года количество запросов на подключение к домену обновления снизилось на 98%, а право собственности на домены было впоследствии передано некоммерческой организации The Shadowserver Foundation для обеспечения их дальнейшей защиты.
Что это означает для пользователей?
Несмотря на успешную нейтрализацию, исследователи предупреждают, что опасность не исчезла полностью по нескольким причинам:
- Пользователи Android: версии приложения на смартфонах по-прежнему подвержены риску, так как обновления требуют ручного взаимодействия со стороны пользователя, и исследователи не смогли отключить их удаленно.
- Устаревший движок браузера: приложение использует движок Chrome 2014 года, в котором отсутствуют современные технологии защиты (песочница), что делает его легкой мишенью для эксплуатации.
- Забытые приложения: данные показали, что миллионы устройств (включая правительственные и военные сети) были подключены к сервису, несмотря на то, что приложение фактически не использовалось, что означает наличие старого неконтролируемого программного обеспечения на критически важных устройствах.
Техническая рекомендация: единственный способ обеспечить безопасность — немедленно полностью удалить приложение со всех систем.