Popcorn Time נסגרה לפני שנים, אבל רכיב עדכונים נטוש השאיר מיליוני מחשבים חשופים להשתלטות
חוקרי חברת הסייבר ההולנדית Eye Security גילו שרכיב העדכונים של Time4Popcorn, גרסה של אפליקציית הסטרימינג הפיראטית Popcorn Time, עדיין רץ על מיליוני מחשבים ופונה לדומיין נטוש. הרכיב מוריד עדכונים בלי הצפנה ובלי לאמת חתימה, ולכן מי שהשתלט על הדומיין יכול היה להריץ קוד על המחשבים האלה. החוקרים קנו את הדומיין, השתמשו באותו מנגנון כדי להשבית את רכיב העדכונים, ומזהירים שהאפליקציה עצמה עדיין מסוכנת.
Popcorn Time, אפליקציית הסטרימינג הפיראטית שהפרויקט המקורי שלה נסגר ב-2014, אולי נעלמה מהמחשבים של רוב המשתמשים. לפי מחקר חדש של חברת הסייבר ההולנדית Eye Security, חלק ממנה עדיין שם. החוקרים מצאו שמיליוני מחשבים ברחבי העולם, גם ברשתות של חברות, ממשלות וצבאות, עדיין מריצים ברקע את רכיב העדכונים של Time4Popcorn, אחת הגרסאות שצצו אחרי סגירת הפרויקט. החולשה שמצאו ברכיב, שמספרה CVE-2026-30612, יכלה לאפשר לתוקף להשתלט על המחשבים האלה מרחוק.
דומיין נטוש ו-50 בקשות בשנייה
כפי שדווח בגיקטיים, הכול התחיל בניטור שגרתי. החוקרים זיהו אצל אחד מלקוחות החברה תהליך בשם Updater.exe שניסה להתחבר לדומיין popcorntimeupd.xyz. הדומיין כבר לא היה רשום על שם אף אחד. החוקרים רכשו אותו כדי לבדוק כמה מחשבים נוספים פונים אליו, והשרת שהקימו קיבל כ-50 בקשות בשנייה ממחשבים שחיפשו עדכון.
במשך חצי שנה נספרו יותר מ-3.8 מיליון מזהי מכשירים שונים. החוקרים עצמם מסייגים שהמספר כנראה מנופח במקצת, בגלל האופן שבו מחשבי Mac מייצרים מזהי מכשיר. ההערכה שלהם היא כ-2.5 עד 3 מיליון מחשבי Windows ועוד כ-250 עד 350 אלף מחשבי Mac. גם מכשירי אנדרואיד פנו לשרתי העדכונים. לפי המפה שפרסמו החוקרים, הרכיב נמצא גם בישראל.
איך עובד הסיכון
כשפירקו את רכיב העדכונים לחלקיו (הנדסה לאחור), החוקרים מצאו שני כשלים: הוא בודק אם יש עדכונים בחיבור HTTP לא מוצפן, והוא לא מאמת את החתימה הדיגיטלית של הקבצים שהוא מוריד. המשמעות היא שמי ששולט באחד הדומיינים שהרכיב פונה אליהם יכול להגיש לו קובץ זדוני כאילו היה עדכון רגיל. לפי המחקר, ב-Windows וב-Mac הרכיב יכול היה להריץ את הקוד עם הרשאות גבוהות, ברקע, בלי שהמשתמש ילחץ על משהו או יאשר התקנה. במצב כזה, תוקף שהיה רוכש את הדומיין לפני החוקרים יכול היה לבנות מהמחשבים האלה botnet, כלומר רשת של מחשבים פרוצים שנשלטים מרחוק.
"עדכון" שמנטרל את עצמו
אחרי בדיקה משפטית, החוקרים השתמשו באותו מנגנון פגיע כדי לשלוח עדכון משלהם. העדכון עשה רק דבר אחד: עצר והשבית את שירות העדכונים. ב-Windows זה נעשה דרך מנהל השירותים של מערכת ההפעלה, וב-macOS על ידי השבתת תהליך הרקע. לדברי החוקרים, העדכון לא אסף מידע ולא מחק קבצים.
המבצע נמשך מנובמבר 2025 עד מרץ 2026. כבר בדצמבר העדכון הגיע ליותר ממיליון מחשבים והבקשות לשרתים ירדו בכ-90%. עד תחילת מרץ הן ירדו ב-98%, ובסך הכול נרשמו יותר משני מיליון הורדות. בדרך הייתה תקלה: תוכנות אנטי-וירוס סימנו את העדכון כנוזקה, כי השבתה של שירות מערכת היא התנהגות שאופיינית גם לקוד זדוני. בשלב מסוים 11 מוצרי אבטחה סימנו אותו כחשוד. החוקרים שינו את הקוד, ובסוף נשאר רק מוצר אחד שהמשיך לסמן אותו.
הבעיה לא נגמרה
החוקרים מזהירים שמי שעדיין מחזיק את Time4Popcorn במחשב לא מוגן, כי רכיב העדכונים היה רק אחת הבעיות. האפליקציה בנויה על מנוע Chrome משנת 2014, וה-Sandbox שלו (השכבה שאמורה לבודד קוד שעלול להיות זדוני משאר המערכת) מושבת. בנוסף, האפליקציה טוענת קוד JavaScript בחיבור לא מוצפן מדומיינים נטושים. החוקרים רשמו גם את הדומיינים האלה והראו שאפשר להריץ דרכם קוד על המחשב. בהדגמה שלהם (POC) הם פתחו את המחשבון של Windows מתוך האפליקציה.
למה זה חשוב
ככל הנראה המקרה הזה ממחיש בעיה רחבה יותר: תוכנה שהמפתחים שלה נעלמו לא מפסיקה לפעול, היא פשוט מפסיקה לקבל תיקונים. כשרכיב מחפש עדכונים מדומיין שאף אחד כבר לא מחזיק, כל מי שירכוש את הדומיין יכול להשתלט על המחשבים שפונים אליו. הפעם החוקרים הגיעו ראשונים. המסקנה המעשית המתבקשת מאזהרת החוקרים היא ככל הנראה למחוק את Time4Popcorn לגמרי ולא להסתפק בכך שהעדכונים הושבתו.