Eye Security envia mais de 2 milhões de atualizações para desativar updater abandonado do Popcorn Time e evitar botnet

O problema está no Updater.exe (Windows) e no helper PT.updd (Mac) do Time4Popcorn, uma cópia abandonada do Popcorn Time. Eles checam novas versões por conexão sem criptografia e instalam o que receberem com privilégio SYSTEM ou root, sem validar o remetente. Como os domínios consultados estavam sem dono, bastava registrar um deles para entregar código a todas as máquinas. A falha é a CVE-2026-30612, com nota 9,8 segundo a CISA, e atinge Windows até a 6.2.1.18, Mac até a 6.2.1.17 e Android até a 3.5.0.173. Segundo a fonte, ela não constava no catálogo de vulnerabilidades exploradas da CISA em 23 de outubro de 2026.

Como não existe mais empresa para corrigir o software, a Eye Security enviou, entre novembro de 2025 e março de 2026, uma atualização que apenas para e desativa o updater, sem apagar arquivos nem coletar dados. O tráfego caiu cerca de 90% até dezembro de 2025 e 98% em março. A Eye estimou 2,5 a 3 milhões de PCs Windows e 250 mil a 350 mil Macs. No Android o updater é embutido e exige aceite do usuário, então não houve envio. A atualização não torna o app seguro: ele usa um motor de navegador de 2014 com sandbox desligado e carrega código de outros endereços abandonados. Uma checagem de 26 de outubro mostrou que 17 dos 20 domínios apontam para o sinkhole da Shadowserver, três não, e os 14 nomes .info falham na validação DNSSEC em resolvedores que a aplicam, como o DNS público do Google.

Para quem opera defesa corporativa, o ponto prático é que não há patch e o app inseguro continua instalado. Vale caçar Updater.exe e PT.updd nos endpoints, monitorar o tráfego para os 20 domínios listados pela Eye e remover o Popcorn Time. Os três domínios fora do sinkhole, um deles registrado em 19 de outubro, mantêm uma janela de risco, conforme a checagem pública descrita na fonte.