Brecha em variante do finado Popcorn Time permitia invadir e controlar Macs

Alguém aí se lembra do Popcorn Time? Trata-se de um aplicativo que tornou a experiência de assistir a filmes e séries via BitTorrent semelhante à de navegar por serviços de streaming comuns. Porém, diante de preocupações com violações de direitos autorais e suas possíveis consequências, os desenvolvedores originais abandonaram o projeto pouco depois de seu lançamento, em 2014.

No entanto, como o código-fonte estava disponível publicamente, outros desenvolvedores puderam utilizá-lo para criar suas próprias versões, conhecidas como forks. Uma delas foi o Time4Popcorn, que também era distribuído sob o nome “Popcorn Time”. Esse compartilhamento de marca pode, inclusive, ter contribuído para que usuários instalassem o software sem nunca terem visto o nome “Time4Popcorn”.

Fato é que o Time4Popcorn também acabou sendo abandonado. No entanto, sua infraestrutura de atualização permaneceu ativa e, em certo momento, os domínios associados ao software ficaram disponíveis para registro por terceiros.

Agora, pesquisadores de segurança da Eye Research, intervieram para desativar um mecanismo de atualização no Time4Popcorn que utilizava conexões não criptografadas e aceitava atualizações executáveis ​​sem verificar assinaturas digitais para confirmar sua autenticidade. Assim, qualquer pessoa que controlasse um domínio de atualização — ou que conseguisse manipular o tráfego não criptografado — poderia fornecer seu próprio programa.

Se permanecesse em execução em segundo plano, esse sistema de atualização poderia permitir que invasores assumissem o controle de computadores — seja o macOS ou o Windows — mesmo que os usuários não abrissem o aplicativo, já que o sistema de atualização abandonado fazia esse trabalho por ele.

A Eye Security estima que o sistema de atualização vulnerável estava presente em milhões de dispositivos ao redor do mundo, incluindo entre 2,5 e 3 milhões de computadores Windows e cerca de 250 mil a 350 mil Macs.

A empresa, então, registrou um domínio de atualização que estava abandonado e utilizou esse mecanismo para distribuir uma atualização que desativava o próprio atualizador. No Windows, a ação interrompeu e desativou o serviço; no macOS, impediu que o processo de atualização fosse iniciado. Os pesquisadores afirmam que sua intervenção não excluiu arquivos dos usuários nem coletou dados dos dispositivos.

Em março de 2026, a Eye Security registrou mais de dois milhões de downloads de sua correção — que desativava o atualizador —, e as solicitações de atualização enviadas aos seus domínios caíram 98%. Posteriormente, a empresa transferiu os 15 domínios que controlava para a organização sem fins lucrativos Shadowserver Foundation.

A recomendação da empresa de segurança é que os usuários verifiquem sua lista de aplicativos instalados em busca de “Popcorn Time” ou “Time4Popcorn”, já que a variante afetada foi distribuída sob ambos os nomes. Em seguida, é necessário remover o aplicativo antigo.

No macOS e no Windows, verifique se o atualizador em segundo plano não está mais em execução. A Eye Security identifica o componente no macOS como "/Library/PrivilegedHelperTools/PT.updd", com um launch daemon localizado em "/Library/LaunchDaemons/PT.updd.plist". O comunicado da empresa fornece instruções sobre como desativar esses componentes, caso seja necessário.

via AppleInsider