Старый Popcorn Time делал около 50 запросов в секунду к доменам Eye Security

Программа годами оставалась на компьютерах пользователей и продолжала обращаться к заброшенным доменам. По отчёту Eye Security, за время операции исследователи отправили более 2 млн загрузок защитного обновления.

Речь о Time4Popcorn, ответвлении торрент-клиента Popcorn Time. Eye Security обнаружила на компьютере клиента процесс Updater.exe: он пытался связаться с доменом, регистрация которого уже истекла. Исследователи зарегистрировали этот адрес и стали получать около 50 запросов в секунду. За следующие полгода в запросах встретилось более 3,8 млн идентификаторов устройств, хотя позднее выяснилось, что по ним нельзя определить число компьютеров.

Проверка показала, что на Windows и macOS обновления запрашивались в фоновом режиме через незашифрованное HTTP-соединение. Сервер мог передать ссылку на файл, который программа скачивала и запускала с высокими правами: от имени SYSTEM на Windows и root на macOS. Проверки цифровой подписи не было. По оценке Eye Security, злоумышленник, получивший контроль над одним из нужных доменов или возможность подменять сетевой трафик, мог бы использовать этот механизм для запуска своего кода.

С ноября 2025-го по март 2026 года исследователи отправляли через доступные им домены обновление, отключавшее саму службу обновления. На Windows оно останавливало службу и запрещало её запуск, не собирая данные и не удаляя файлы. На macOS скрипт отключал процесс, который запускался при загрузке системы. Сначала исследователи испытали решение на небольшом числе устройств, затем расширили развёртывание.

Почему старый клиент Popcorn Time продолжал работать

Оригинальный Popcorn Time прекратил работу в 2014 году, после чего появились ответвления, включая Time4Popcorn. Они тоже распространялись под названием Popcorn Time, поэтому пользователю было трудно понять, какая именно версия у него установлена. Клиенты Eye Security, на компьютерах которых нашли программу, ей уже не пользовались: они установили её много лет назад, но фоновый процесс продолжал проверять обновления. Исследование не касается нового проекта под названием Popcorn Time, который с начала 2025 года разрабатывает легальную альтернативу.

Обычный способ исправить такую уязвимость — выпустить обновление программы. В этом случае сайт, распространявший Time4Popcorn, давно не работал, а домены, к которым обращались установленные копии, принадлежали разным владельцам или оставались свободными. Выкупить все адреса исследователи не могли гарантированно. Даже полный контроль над ними не устранил бы риск подмены обновления при передаче по HTTP.

После загрузки защитного файла на VirusTotal антивирусы начали считать его вредоносным, поскольку он отключал службу. Через неделю файл обнаруживали 11 продуктов. Eye Security изменила код, чтобы средства защиты реже блокировали обновление и не оставляли уязвимый процесс работающим.

Что осталось на устройствах

К декабрю 2025 года обновление получили более миллиона систем. Через несколько недель число запросов к доменам исследователей сократилось на 90%. На 1 марта команда ещё отправляла около 5000 обновлений в день, а число запросов снизилось на 98%. Позже в марте Eye Security передала 15 принадлежавших ей доменов организации Shadowserver Foundation. Часть адресов оставалась у сторонних владельцев.

На Android исследователи обновление не отправляли. Там проверка происходит при открытии приложения, а установку APK должен подтвердить пользователь; отдельно отключить встроенный в приложение механизм обновления нельзя. Отправленное исследователями обновление также не удаляло Popcorn Time с компьютеров. По оценке Eye Security, пользоваться старым клиентом по-прежнему небезопасно: приложение использует движок Chrome 2014 года с отключённой изоляцией и загружает данные по HTTP.

Eye Security советует удалить старую версию Popcorn Time. Исследователи обнаружили, что приложение загружает JavaScript с заброшенных доменов, и подготовили демонстрацию запуска программы на компьютере через такой скрипт. Эти домены команда зарегистрировала и затем тоже передала Shadowserver Foundation, не отправляя через них свой код пользователям.