Das niederländische Sicherheitsunternehmen Eye Security teilt mit, es habe zwischen November 2025 und März 2026 mehr als 2 Millionen Update-Downloads ausgeliefert, um einen verwundbaren Hintergrund-Updater auf Computern zu deaktivieren, die dem Unternehmen nicht gehörten. Die Komponente gehörte zu Time4Popcorn, einem verlassenen Fork von Popcorn Time, dessen Update-Mechanismus es einem Angreifer erlauben könnte, Software mit vollen Systemrechten unter Windows und Mac auszuführen.
Die Operation mit dem Namen Operation IXIM zielte auf eine Schwachstelle, die inzwischen als CVE-2026-30612 geführt wird. Eye zufolge gibt es keinen Patch, weil die Software nicht mehr gepflegt wird, und das Unternehmen empfiehlt, sie vollständig zu entfernen. Die Untersuchung betrifft nicht das separate juristische Projekt, das Anfang 2025 begann, den Namen Popcorn Time zu verwenden.
Eine abgelaufene Domain legte einen privilegierten Update-Kanal offen
Eye entdeckte den Updater bei einer routinemäßigen Threat-Hunting-Suche auf dem Laptop eines Kunden. Ein Prozess namens Updater.exe versuchte wiederholt, eine nicht registrierte Webadresse zu kontaktieren. Nachdem das Unternehmen diese Adresse registriert hatte, erhielt es laut The Hacker News rund 50 Anfragen pro Sekunde.
Die Updater für Windows und Mac starteten beim Booten automatisch und suchten über eine unverschlüsselte Verbindung nach neuen Versionen. Sie akzeptierten Updates, ohne deren Quelle zu authentifizieren, und führten sie ohne Benutzerinteraktion als NT AUTHORITY\SYSTEM unter Windows bzw. als root unter Mac aus. Ein Angreifer, der diesen Datenverkehr manipulieren kann, etwa indem er eine verwaiste Update-Domain registriert, könnte ein schädliches Update einschleusen.
Eye erklärte, dieser Zugriff könne die Installation von Ransomware, den Diebstahl von Passwörtern oder die Einbindung in ein Botnetz ermöglichen. Dabei handelte es sich um mögliche Folgen: Das Unternehmen stellte fest, dass es keine Hinweise darauf fand, dass eine andere Partei über die Update-Adressen Code ausgeliefert hätte. Domains, die andere bereits registriert hatten, waren geparkt oder wurden zum Verkauf angeboten.
Im Verlauf von sechs Monaten beobachtete Eye mehr als 3,8 Millionen unterschiedliche Hardware-IDs. Diese Kennungen ließen sich jedoch nicht verlässlich in eine Gerätezahl umrechnen: Manche Windows-Rechner teilten sich eine Kennung, während manche Macs ihre Kennung wechselten. Anschließend schätzte Eye die Zahl auf 2,5 bis 3 Millionen Windows-Rechner und 250.000 bis 350.000 Macs.
Eine Stichprobe der verbindenden Adressen deutete auf Heimanwender weltweit sowie auf Rechner in Regierungs-, Militär- und Unternehmensnetzen hin. Eye warnte, dass sich aus dieser Kartierung nur schwer Schlüsse ziehen lassen.
The Hacker News führt betroffene Time4Popcorn-Versionen auf: Windows-Versionen bis einschließlich 6.2.1.18, Mac-Versionen bis einschließlich 6.2.1.17 und Android-Versionen bis einschließlich 3.5.0.173. Laut dem Bericht liegt die CISA-Schweregradbewertung bei 9,8 von 10. Stand 23. Oktober 2026 fehlte die Schwachstelle im Katalog der bekanntermaßen ausgenutzten Schwachstellen (KEV) der CISA.
Den Updater über dessen eigene Infrastruktur deaktivieren
Nach rechtlicher Beratung nutzte Eye den Update-Kanal, um ein Programm zu verteilen, das nach eigenen Angaben nur den Updater stoppte und deaktivierte, ohne Dateien zu löschen oder Daten zu sammeln.
Die Erkennung durch Antivirensoftware erschwerte die Auslieferung. Nachdem jemand das deaktivierende Update bei VirusTotal hochgeladen hatte, begannen Sicherheitsengines, es zu markieren. Blockierte Auslieferungen hätten den verwundbaren Updater aktiv gelassen, weshalb Eye das Programm überarbeitete, bis nur noch ein Scanner es erkannte.
Bis Dezember 2025 hatte Eye nach eigenen Angaben mehr als eine Million Systeme aktualisiert und den Datenverkehr zu den kontrollierten Adressen um etwa 90 Prozent reduziert. Bis zum 1. März war die Auslieferung auf rund 5.000 Updates pro Tag gesunken, was Eye als Rückgang um 98 Prozent beschrieb. Das Unternehmen stellte die Auslieferung ein, nachdem es das verbleibende Volumen für zu gering hielt, um einen Botnetz-Betreiber anzulocken. Die Gesamtzahl von mehr als 2 Millionen Update-Downloads ist keine verifizierte Zahl der unterschiedlichen geschützten Computer.
Im März übertrug Eye seine 15 kontrollierten Domains an die Shadowserver Foundation. Die Registrierungsdaten für popcorntimeupd[.]xyz zeigen eine Übertragung am 20. März 2026, und die Domain verweist nun auf Sinkhole-Server von Shadowserver. Andere Update-Adressen blieben in fremdem Besitz, sodass Rechner, die diese Ziele kontaktierten, weiterhin angreifbar waren.
Eye stellte die Operation am 22. Oktober bei Hack.lu vor.
Die Entfernung der Anwendung bleibt die empfohlene Abhilfe
Das Deaktivieren des Updaters beseitigt andere Schwachstellen nicht. Eye zufolge nutzt die Anwendung eine Browser-Engine von 2014, bei der die Sicherheits-Sandbox deaktiviert ist, lädt Inhalte über unverschlüsselte Verbindungen und bindet Code von verwaisten Domains ein. Das Unternehmen registrierte auch diese Domains und entwickelte einen funktionierenden Proof of Concept, erklärte aber, es habe sie nicht genutzt, um Code auf den Computern der Nutzer auszuführen.
Im Sicherheitshinweis zu Time4Popcorn empfiehlt Eye, die Software zu deinstallieren. Windows-Nutzer können den Update-Dienst mit folgenden Befehlen stoppen und deaktivieren:
sc.exe stop "Update service"
sc.exe config "Update service" start= disabled
Auf dem Mac lässt sich der privilegierte Helfer mit folgendem Befehl entladen:
launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
Auf Android erfolgt die Suche nach Updates nur, wenn die Anwendung geöffnet wird, und die Installation einer bereitgestellten APK erfordert die Zustimmung des Nutzers. Das deaktivierende Update hat Eye nicht an Android-Geräte gesendet. Da der Updater in die Anwendung eingebettet ist, empfiehlt Eye, die App vollständig zu entfernen.
Für Endpunkt-Prüfungen können Verteidiger nach Updater.exe suchen, typischerweise unter C:\Program Files (x86)\Popcorn Time\ oder C:\Program Files\Popcorn Time\, sowie nach dem Mac-Helfer unter /Library/PrivilegedHelperTools/PT.updd.
