Старий Popcorn Time міг зробити з мільйонів ПК ботнет

Дослідники компанії Eye Security розповіли, як кілька місяців тихо рятували мільйони комп'ютерів від захоплення. Йдеться про занедбану версію Popcorn Time під назвою Time4Popcorn: її модуль оновлення звертався до давно прострочених доменів, і той, хто їх купив би, отримав би повний контроль над машинами користувачів. Якщо ця програма колись стояла у вас, перевірте, чи вона є, саме сьогодні.

Як працювала діра

Діра отримала номер CVE-2026-30612. Апдейтер (Updater.exe у Windows, PT.updd у macOS) перевіряв оновлення за звичайним HTTP, без шифрування і без цифрового підпису. Завантажений файл він запускав із правами SYSTEM у Windows та root у macOS, причому мовчки, у фоні. Купити забутий домен коштує кілька доларів, а натомість можна отримати керування мільйонами пристроїв.

Згідно зі звітом Eye Security, на Windows припадало близько 2,5–3 млн комп'ютерів, на macOS — 250–350 тисяч. Фахівці з листопада 2025 до березня 2026 року зареєстрували занедбані домени й розіслали безпечне оновлення, яке просто вимкнуло службу оновлення. Файлів воно не видаляло і даних не збирало. Наприкінці березня 15 доменів передали фонду Shadowserver, хоча частина адрес уже належала стороннім.

Вимкнений апдейтер — не кінець проблеми. Сам застосунок працює на рушії Chrome 2014 року з вимкненою пісочницею й завантажує вміст по HTTP. Латки немає, Eye Security радить просто видалити програму.

Як перевірити свій комп'ютер

У Windows зазирніть до теки C:\Program Files\Popcorn Time і подивіться, чи є там Updater.exe та служба «Update service». На Mac шукайте файл /Library/PrivilegedHelperTools/PT.updd. Знайшли — видаляйте програму повністю. Легальний проєкт на popcorntime.app ця історія не стосується; BleepingComputer теж пише саме про форк Time4Popcorn.