Cenueshmëria e Popcorn Time shkaktoi 2 milionë përditësime çaktivizuese
Cenueshmëria e Popcorn Time, e regjistruar si CVE-2026-30612, la miliona kompjuterë në gjendje të instalonin software të ofruar përmes domain të braktisura të përditësimeve. Midis nëntorit 2025 dhe marsit 2026, kompania holandeze e sigurisë Eye Security dërgoi më shumë se 2 milionë shkarkime përditësimesh te pajisjet e prekura, duke përdorur mekanizmin e cenueshëm për të ndalur dhe çaktivizuar updater, në vend që të instalonte një patch të zakonshëm.
Updater ishte pjesë e Time4Popcorn, një kopje e braktisur e Popcorn Time, një aplikacion që transmetonte filma dhe programe televizive pirate përmes BitTorrent, një sistem peer-to-peer për ndarjen e skedarëve. Popcorn Time origjinal u mbyll në vitin 2014, por disa kopje vazhduan të funksiononin me këtë emër. Një projekt i veçantë dhe i ligjshëm, që e mori këtë emër në fillim të vitit 2025, nuk ka lidhje me të.
Eye Security e zbuloi problemin gjatë një kërkimi rutinë për kërcënime në rrjetin e një klienti. Një program me emrin Updater.exe po kontaktonte vazhdimisht një adresë web që nuk ishte më e regjistruar. Kompania e regjistroi adresën për të vëzhguar trafikun dhe filloi të merrte rreth 50 kërkesa në sekondë. Më vonë, ajo e quajti punën Operation IXIM dhe e përshkroi në një raport me shkrim dhe në Hack.lu më 22 tetor.
Gjatë gjashtë muajve të vëzhgimit, kërkesat përmbanin më shumë se 3,8 milionë hardware ID të ndryshme, identifikues që synojnë të dallojnë pajisjet nga njëra-tjetra. Eye Security zbuloi se ato nuk ishin një matës i besueshëm, sepse disa kompjuterë Windows kishin të njëjtën ID, ndërsa disa Mac e ndryshonin të tyren. Vlerësimi i rishikuar i kompanisë ishte 2,5 deri në 3 milionë kompjuterë Windows dhe 250.000 deri në 350.000 Mac.
Në Windows dhe Mac, updater nisej bashkë me kompjuterin dhe vazhdonte të punonte në sfond. Ai kërkonte software të ri përmes një lidhjeje të pakriptuar, që do të thotë se trafiku nuk mbrohej nga përgjimi, dhe nuk verifikonte se kush e ofronte shkarkimin. Çdo gjë e kthyer si përgjigje mund të instalohej me nivelin më të lartë të kontrollit të sistemit operativ, të njohur si SYSTEM në Windows dhe root në Mac. Për shkak se adresat e përditësimeve ishin braktisur, kushdo që regjistronte adresën e duhur mund t’u dërgonte potencialisht një program kompjuterëve që vazhdonin ta kontaktonin atë.
Eye Security tha se ky nivel aksesi mund të përdorej për të shpërndarë ransomware, për të vjedhur fjalëkalime të ruajtura ose për të përfshirë një kompjuter në një botnet, që është një grup pajisjesh të komprometuara dhe të kontrolluara së bashku. Një kampion i adresave të internetit që lidheshin përfshinte përdorues shtëpiakë në mbarë botën dhe sisteme në rrjete qeveritare, ushtarake dhe korporative, megjithëse kompania paralajmëroi se nga ky kampion nuk mund të nxirreshin përfundime të sigurta.
Cenueshmëria u bë publike në qershor dhe iu caktua CVE-2026-30612, një identifikues Common Vulnerabilities and Exposures që përdoret për të gjurmuar cenueshmëritë e sigurisë të dokumentuara publikisht. Agjencia amerikane Cybersecurity and Infrastructure Security Agency e vlerëson atë me 9,8 nga 10. Versionet e prekura janë Time4Popcorn për Windows deri në 6.2.1.18, për Mac deri në 6.2.1.17 dhe për Android deri në 3.5.0.173.
Meqë software ishte braktisur dhe nuk pritej asnjë patch nga ofruesi, Eye Security kërkoi këshillim ligjor dhe krijoi një përditësim që vetëm ndalonte dhe çaktivizonte updater. Ai nuk hiqte skedarë dhe nuk mblidhte informacione. Kompania e krahasoi ndërhyrjen me Operation Ladybird, gjatë së cilës policia holandeze u dërgoi në vitin 2021 një përditësim kompjuterëve të infektuar me Emotet për ta çaktivizuar atë malware. Ndryshe nga viktimat e Emotet, përdoruesit e Time4Popcorn e kishin instaluar vetë aplikacionin, por nuk kishin synuar domosdoshmërisht të linin një updater të harruar të funksiononte për vite me radhë.
Pasi dikush e dërgoi përditësimin mbrojtës në VirusTotal, skanerët antivirus filluan ta klasifikonin si malware, sepse çaktivizonte një Windows service. Çdo shkarkim i bllokuar e linte updater origjinal aktiv, prandaj Eye Security e rishikoi programin derisa vetëm një skaner vazhdonte ta zbulonte. Deri në dhjetor 2025, më shumë se 1 milion sisteme e kishin marrë përditësimin dhe trafiku drejt adresave të kontrolluara kishte rënë me rreth 90 për qind. Deri më 1 mars, kompania po shpërndante rreth 5.000 përditësime në ditë, çka përfaqësonte një ulje prej 98 për qind. Më pas ajo e ndaloi operacionin, pasi arriti në përfundimin se popullata e mbetur nuk kishte gjasa të tërhiqte një operator botnet.
Në fund të marsit, Eye Security ia transferoi 15 adresat web që kontrollonte Shadowserver Foundation. Shadowserver është një organizatë jofitimprurëse që mund t’i mbajë këto adresa si sinkholes, destinacione që marrin në mënyrë të sigurt trafikun e padëshiruar në vend që të kthejnë përmbajtje keqdashëse. Informacioni publik i regjistrimit për popcorntimeupd[.]xyz tregon një transferim të datës 20 mars 2026. Megjithatë, adresa të tjera të kontaktuara nga updater mbeten nën kontroll të jashtëm, kështu që kompjuterët që lidhen me to janë ende të ekspozuar. Eye Security tha se adresat e regjistruara tashmë nga të tjerë ishin të parkuara ose ofroheshin për shitje dhe nuk shfaqnin prova se po shpërndanin kod. Deri më 23 tetor 2026, cenueshmëria nuk ishte në katalogun e CISA për cenueshmëritë që dihet se shfrytëzohen në mënyrë aktive.
Çaktivizimi i updater nuk e bën Time4Popcorn të sigurt. Sipas Eye Security, aplikacioni përdor një browser engine të vitit 2014 me sandbox të çaktivizuar. Një sandbox është një kufizim që synon të parandalojë përmbajtjen web të kontrollojë pjesën tjetër të kompjuterit. Aplikacioni ngarkon gjithashtu përmbajtje pa kriptim dhe merr kod nga adresa të tjera të braktisura. Eye Security i regjistroi këto adresa dhe ndërtoi një proof of concept funksional, një demonstrim që tregonte se kodi mund të ekzekutohej kur hapej aplikacioni, por nuk ua shpërndau atë kod përdoruesve.
Eye Security rekomandon çinstalimin e Popcorn Time. Përdoruesit e Windows që nuk mund ta heqin menjëherë mund ta ndalin dhe çaktivizojnë service nga një administrator command prompt me sc.exe stop "Update service", pasuar nga sc.exe config "Update service" start= disabled. Në Mac, komponenti ndihmës mund të çngarkohet me launchctl unload -w /Library/LaunchDaemons/PT.updd.plist. Updater i Android është i integruar në aplikacion dhe kërkon që përdoruesi të miratojë një instalim, prandaj Eye Security nuk u dërgoi përditësime pajisjeve Android. Çinstalimi i aplikacionit Android është e vetmja zgjidhje e deklaruar.
Ekipet e IT mund të kërkojnë në kompjuterët që administrojnë për Updater.exe në Windows dhe PT.updd në Mac. Raporti i Eye Security rendit gjithashtu të 20 domain e kontaktuara dhe vlerat hash të skedarëve, të cilat janë gjurmë dixhitale që përdoren për të identifikuar skedarë të saktë. Për bizneset që shqyrtojnë këtë lloj rreziku nga software pa mbështetje, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë si përparësi. Mësimi kryesor për përdoruesit e prekur është më i kufizuar dhe i menjëhershëm: hiqni Time4Popcorn, sepse çaktivizimi i një komponenti të pasigurt nuk i korrigjon dobësitë e mbetura të aplikacionit.