Popcorn Time deixou milhões de computadores vulneráveis a hackers
A empresa holandesa de cibersegurança Eye Security distribuiu mais de 2 milhões de atualizações para computadores de terceiros entre novembro de 2025 e março de 2026, com o objetivo de desativar um componente vulnerável do Popcorn Time que poderia permitir o controle remoto de milhões de dispositivos e sua utilização em ataques cibernéticos.
A operação, denominada Operation IXIM, foi realizada após a descoberta de uma vulnerabilidade crítica no atualizador do Time4Popcorn, uma versão abandonada do popular aplicativo de streaming de filmes e séries via BitTorrent. A falha, identificada como CVE-2026-30612, recebeu pontuação 9,8 de 10 e poderia permitir a instalação de ransomware, o roubo de credenciais e a formação de botnets.
O Popcorn Time ganhou popularidade há aproximadamente uma década, antes de seu projeto original ser encerrado em 2014. Entretanto, diferentes versões continuaram circulando. Um projeto legal que adotou o mesmo nome em 2025 não possui relação com a versão vulnerável.
Falha permitia instalar programas com privilégios administrativos
A descoberta ocorreu durante uma investigação de rotina, quando a Eye Security identificou um processo chamado Updater.exe em um notebook de cliente. O programa tentava continuamente acessar um domínio que já não estava registrado.
Os pesquisadores registraram o endereço para investigar a atividade e começaram a receber aproximadamente 50 requisições por segundo, provenientes de computadores que ainda executavam o atualizador.
Ao longo de seis meses, foram identificados mais de 3,8 milhões de identificadores de hardware distintos. Como esses identificadores não correspondiam necessariamente a dispositivos únicos, a empresa estimou que a infraestrutura envolvia entre 2,5 milhões e 3 milhões de computadores Windows, além de 250 mil a 350 mil Macs.
O componente vulnerável era iniciado automaticamente com o sistema operacional e verificava a disponibilidade de atualizações por conexões não criptografadas.
O problema mais grave estava na ausência de verificação da autenticidade dos arquivos recebidos. Qualquer programa fornecido pelo servidor de atualização poderia ser instalado com os privilégios mais elevados do sistema: SYSTEM no Windows e root no macOS.
Como os domínios originais haviam sido abandonados, qualquer pessoa que registrasse os endereços corretos poderia distribuir códigos maliciosos aos dispositivos que continuavam realizando essas conexões.
A análise identificou computadores domésticos em diferentes países, além de conexões associadas a redes corporativas, governamentais e militares. A Eye Security ressaltou, porém, que não era possível determinar com precisão a situação desses dispositivos apenas pelos endereços observados.
A vulnerabilidade afeta as seguintes versões:
Windows: Time4Popcorn 6.2.1.18 e anteriores.
macOS: Time4Popcorn 6.2.1.17 e anteriores.
Android: Time4Popcorn 3.5.0.173 e anteriores.
Pesquisadores utilizaram o próprio atualizador para neutralizar a ameaça
Sem uma empresa responsável pela manutenção do software e sem perspectiva de correção oficial, a Eye Security decidiu utilizar o mecanismo vulnerável para desativá-lo remotamente.
Após consultar especialistas jurídicos, a empresa começou a distribuir uma atualização cuja única função era interromper e desabilitar o serviço responsável por buscar novas versões. Segundo os pesquisadores, o procedimento não apagava arquivos nem coletava informações dos usuários.
A iniciativa foi comparada à Operation Ladybird, realizada pela polícia holandesa em 2021, quando uma atualização foi enviada a computadores infectados pela botnet Emotet para desativar o malware.
A diferença é que os usuários do Popcorn Time haviam instalado voluntariamente o aplicativo, embora não necessariamente soubessem que um atualizador abandonado permanecia ativo em segundo plano durante anos.
A operação enfrentou dificuldades quando a atualização criada pelos pesquisadores foi enviada ao VirusTotal e passou a ser identificada como malware por mecanismos antivírus.
Como o bloqueio impedia a desativação do componente vulnerável, a Eye Security modificou o arquivo até que apenas um mecanismo de detecção continuasse sinalizando a atualização.
Mais de 2 milhões de atualizações foram distribuídas
Até dezembro de 2025, a empresa havia atualizado mais de 1 milhão de sistemas, reduzindo em aproximadamente 90% o tráfego direcionado aos domínios controlados.
Em 1º de março de 2026, o volume havia caído para cerca de 5 mil atualizações diárias, uma redução de 98% em relação ao início da operação.
Considerando que os dispositivos restantes representavam um conjunto menos atrativo para operadores de botnets, a Eye Security encerrou a distribuição após ultrapassar 2 milhões de downloads de atualizações.
No final de março, a empresa transferiu os 15 domínios sob seu controle para a Shadowserver Foundation, organização sem fins lucrativos especializada no monitoramento e na neutralização de infraestruturas maliciosas.
Um dos endereços, popcorntimeupd[.]xyz, passou a apontar para servidores de sinkhole da Shadowserver, com transferência registrada em 20 de março de 2026.
Entretanto, outros domínios utilizados pelo atualizador permanecem sob controle de terceiros, o que significa que alguns dispositivos ainda podem estar expostos.
A Eye Security não encontrou evidências de que outros responsáveis estivessem distribuindo códigos maliciosos por esses endereços. Até 23 de outubro de 2026, a CVE-2026-30612 também não constava no catálogo de vulnerabilidades conhecidamente exploradas da agência americana CISA.
Desativar o atualizador não elimina os riscos do Popcorn Time
Apesar da operação, a Eye Security alertou que o aplicativo continua apresentando problemas de segurança.
O Popcorn Time utiliza um mecanismo de navegador de 2014 com o sandbox de segurança desabilitado, realiza conexões não criptografadas e carrega códigos provenientes de outros domínios abandonados.
Os pesquisadores também registraram esses endereços e demonstraram, por meio de uma prova de conceito, que seria possível executar códigos nos computadores que abrissem o aplicativo. Essa capacidade não foi utilizada durante a operação.
Por isso, a principal recomendação da empresa é desinstalar completamente o Popcorn Time, em vez de apenas interromper seu serviço de atualização.
Para quem precisa desabilitar manualmente o componente, a empresa disponibilizou os seguintes comandos.
No Windows:
sc.exe stop "Update service"
sc.exe config "Update service" start= disabledNo macOS:
launchctl unload -w /Library/LaunchDaemons/PT.updd.plistNo Android, o atualizador faz parte do próprio aplicativo e depende da confirmação do usuário para instalar atualizações. Por esse motivo, a Eye Security não distribuiu correções remotas para dispositivos Android, recomendando sua remoção.
Administradores de segurança também podem procurar pelos arquivos Updater.exe, no Windows, e PT.updd, no macOS, além de monitorar conexões aos 20 domínios identificados na investigação.
A Operation IXIM demonstrou que um mecanismo de atualização abandonado poderia manter milhões de computadores expostos durante anos, mesmo sem que os usuários continuassem utilizando o aplicativo.
