La société néerlandaise de sécurité Eye Security affirme avoir livré plus de 2 millions de téléchargements de mises à jour entre novembre 2025 et mars 2026 afin de désactiver un programme de mise à jour vulnérable fonctionnant en arrière-plan sur des ordinateurs qui ne lui appartenaient pas. Ce composant appartenait à Time4Popcorn, un fork abandonné de Popcorn Time dont le mécanisme de mise à jour pouvait permettre à un attaquant d'exécuter des logiciels avec les privilèges système complets sur Windows et Mac.
Baptisée Operation IXIM, l'opération visait une faille désormais suivie sous l'identifiant CVE-2026-30612. Eye indique qu'aucun correctif n'est disponible, le logiciel étant abandonné, et recommande de le supprimer complètement. Cette recherche ne s'applique pas au projet juridique distinct qui a commencé à utiliser le nom Popcorn Time au début de 2025.
Un domaine expiré a exposé un canal de mise à jour privilégié
Eye a découvert le programme de mise à jour lors d'une chasse aux menaces de routine sur l'ordinateur portable d'un client. Un processus nommé Updater.exe tentait à plusieurs reprises de contacter une adresse web non enregistrée. Après que la société a enregistré cette adresse, elle a reçu environ 50 requêtes par seconde, selon The Hacker News.
Les programmes de mise à jour Windows et Mac se lançaient automatiquement au démarrage de l'ordinateur et vérifiaient la présence de nouvelles versions via une connexion non chiffrée. Ils acceptaient les mises à jour sans authentifier leur source, puis les exécutaient sans intervention de l'utilisateur sous NT AUTHORITY\SYSTEM sous Windows, ou sous root sous Mac. Un attaquant capable de manipuler ce trafic, notamment en enregistrant un domaine de mise à jour abandonné, pourrait fournir une mise à jour malveillante.
Eye indique que cet accès pourrait permettre l'installation de rançongiciels, le vol de mots de passe ou l'enrôlement dans un botnet. Il s'agissait de conséquences potentielles : la société affirme n'avoir trouvé aucune preuve qu'un tiers ait livré du code via les adresses de mise à jour. Les domaines déjà enregistrés par d'autres étaient soit parqués, soit proposés à la vente.
Pendant six mois, Eye a observé plus de 3,8 millions d'identifiants matériels distincts. Ces identifiants ne se traduisaient pas de façon fiable en nombre d'appareils : certains ordinateurs Windows partageaient un même identifiant, tandis que certains Mac en changeaient. Eye a ensuite estimé la population entre 2,5 et 3 millions d'ordinateurs Windows et entre 250 000 et 350 000 Mac.
Un échantillon d'adresses de connexion laissait supposer la présence de particuliers dans le monde entier, ainsi que de machines appartenant à des réseaux gouvernementaux, militaires et d'entreprises. Eye met toutefois en garde : il est difficile de tirer des conclusions de cette cartographie.
The Hacker News répertorie les versions de Time4Popcorn concernées : les versions Windows jusqu'à la 6.2.1.18 incluse, les versions Mac jusqu'à la 6.2.1.17 incluse et les versions Android jusqu'à la 3.5.0.173 incluse. Le site mentionne une note de gravité CISA de 9,8 sur 10. La vulnérabilité ne figurait pas dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA au 23 octobre 2026.
Désactiver le programme de mise à jour via sa propre infrastructure
Après avoir pris conseil auprès de juristes, Eye a utilisé le canal de mise à jour pour distribuer un programme qui, selon elle, se contentait d'arrêter et de désactiver le programme de mise à jour, sans supprimer de fichiers ni collecter de données.
La détection par les antivirus a compliqué la distribution. Après qu'une personne a téléversé la mise à jour de désactivation sur VirusTotal, les moteurs de sécurité ont commencé à la signaler. Eye explique que les livraisons bloquées laissaient le programme de mise à jour vulnérable actif ; la société a donc révisé le programme jusqu'à ce qu'un seul moteur continue de le détecter.
En décembre 2025, Eye affirme avoir mis à jour plus d'un million de systèmes et réduit d'environ 90 % le trafic vers ses adresses contrôlées. Au 1er mars, les livraisons étaient tombées à environ 5 000 mises à jour par jour, ce qu'elle décrit comme une baisse de 98 %. La société a arrêté après avoir jugé le volume restant trop faible pour attirer un opérateur de botnet. Son total de plus de 2 millions de téléchargements de mises à jour n'est pas un décompte vérifié des ordinateurs distincts protégés.
En mars, Eye a transféré ses 15 domaines contrôlés à la Shadowserver Foundation. Les données d'enregistrement de popcorntimeupd[.]xyz font état d'un transfert le 20 mars 2026 et pointent désormais vers des serveurs sinkhole de Shadowserver. D'autres adresses de mise à jour restaient sous contrôle extérieur, laissant exposées les machines qui contactaient ces destinations.
Eye a présenté l'opération à Hack.lu le 22 octobre.
Supprimer l'application reste la solution recommandée
La désactivation du programme de mise à jour laisse d'autres failles en place. Eye indique que l'application utilise un moteur de navigateur de 2014 dont le bac à sable de sécurité est désactivé, récupère du contenu via des connexions non chiffrées et charge du code depuis des domaines abandonnés. La société a également enregistré ces domaines et a construit une preuve de concept fonctionnelle, mais affirme ne pas s'en être servie pour exécuter du code sur les ordinateurs des utilisateurs.
Dans son avis sur Time4Popcorn, Eye recommande de désinstaller le logiciel. Les utilisateurs Windows peuvent arrêter et désactiver le service de mise à jour avec :
sc.exe stop "Update service"
sc.exe config "Update service" start= disabled
Sur Mac, l'assistant privilégié peut être déchargé avec :
launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
Sur Android, les vérifications de mise à jour n'ont lieu que lorsque l'application est ouverte, et l'installation d'un APK fourni nécessite l'accord de l'utilisateur. Eye n'a pas envoyé sa mise à jour de désactivation aux appareils Android. Ce programme de mise à jour étant intégré à l'application, Eye recommande de la supprimer entièrement.
Pour les contrôles sur les postes de travail, les équipes de défense peuvent rechercher Updater.exe, généralement sous C:\Program Files (x86)\Popcorn Time\ ou C:\Program Files\Popcorn Time\, ainsi que l'assistant privilégié Mac situé à /Library/PrivilegedHelperTools/PT.updd.
