Старый Popcorn Time мог превратить миллионы ПК в ботнет

Исследователи компании Eye Security рассказали, как несколько месяцев тихо спасали миллионы компьютеров от захвата. Речь о заброшенной версии Popcorn Time под названием Time4Popcorn: её модуль обновления ходил на давно просроченные домены, и любой, кто их купил бы, получил бы полный контроль над машинами пользователей. Если эта программа у вас когда-то стояла, проверьте её наличие сегодня.

Как работала дыра

Дыра получила номер CVE-2026-30612. Апдейтер (Updater.exe в Windows, PT.updd в macOS) проверял обновления по обычному HTTP, без шифрования и без цифровой подписи. Скачанный файл он запускал с правами SYSTEM в Windows и root в macOS, причём молча, в фоне. Купить забытый домен стоит несколько долларов, а получить взамен можно управление миллионами устройств.

По отчёту Eye Security, на Windows приходилось около 2,5–3 млн компьютеров, на macOS — 250–350 тысяч. Эксперты с ноября 2025 по март 2026 года зарегистрировали заброшенные домены и разослали безвредное обновление, которое просто отключило службу обновления. Файлы оно не удаляло и данных не собирало. В конце марта 15 доменов передали фонду Shadowserver, часть адресов, правда, уже была у посторонних.

Отключённый апдейтер — не конец проблемы. Само приложение работает на движке Chrome 2014 года с выключенной песочницей и грузит контент по HTTP. Патча нет, Eye Security советует просто удалить программу.

Как проверить свой компьютер

В Windows загляните в папку C:\Program Files\Popcorn Time и посмотрите, есть ли там Updater.exe и служба «Update service». На Mac ищите файл /Library/PrivilegedHelperTools/PT.updd. Нашли — удаляйте программу целиком. Легальный проект на popcorntime.app эта история не затрагивает; BleepingComputer тоже пишет именно о форке Time4Popcorn.