Sicherheitsfirma deaktiviert Updater für Millionen verwaister Popcorn Time-Installationen aus der Ferne

Zwischen November 2025 und März 2026 führte das niederländische Sicherheitsunternehmen Eye Security eine groß angelegte Fernintervention durch, um eine kritische Schwachstelle in verwaister Software zu neutralisieren. Das Unternehmen verteilte mehr als zwei Millionen Updates an Computer, die ihm nicht gehörten, mit dem Ziel eines Hintergrund-Updaters innerhalb von Time4Popcorn, einer inoffiziellen Kopie der eingestellten Streaming-Anwendung Popcorn Time. Diese Operation sollte verhindern, dass böswillige Akteure diese Maschinen über einen ungepatchten Update-Mechanismus übernehmen.

Was passiert ist

Eye Security entdeckte die Schwachstelle während einer routinemäßigen Bedrohungssuche, als Analysten ein Programm namens Updater.exe auf einem Kunden-Laptop bemerkten, das versuchte, eine unregistrierte Webadresse zu erreichen. Nachdem das Team die Domain selbst registriert hatte, beobachtete es etwa 50 Anfragen pro Sekunde von verschiedenen Geräten. Im Laufe von sechs Monaten enthielten diese Anfragen mehr als 3,8 Millionen eindeutige Hardware-Kennungen. Nach Bereinigung doppelter IDs auf Windows-PCs und sich ändernder IDs auf Macs schätzte Eye, dass zwischen 2,5 und 3 Millionen Windows-Computer sowie 250.000 bis 350.000 Macs betroffen waren.

Der Updater lief mit hohen Privilegien, bekannt als SYSTEM unter Windows und root unter Mac, und installierte jegliche Inhalte, die über eine unverschlüsselte Verbindung gesendet wurden, ohne den Absender zu überprüfen. Da die ursprünglichen Domains aufgegeben worden waren, hätte jeder, der sie registrierte, Malware, Ransomware oder Botnet-Clients an jede verbundene Maschine verteilen können. Eye Security identifizierte betroffene Geräte sowohl in Heimnetzwerken als auch in Regierungs-, Militär- und Unternehmensinfrastrukturen, merkte jedoch an, dass es schwierig sei, Schlussfolgerungen über die spezifische Natur dieser Unternehmensverbindungen zu ziehen.

Um das Risiko zu mindern, startete Eye Security die Operation IXIM. Nach Einholung rechtlicher Beratung nutzten sie den verwundbaren Updater, um einen Patch bereitzustellen, der den Dienst einfach stoppte und deaktivierte. Sie löschten keine Dateien und sammelten keine Benutzerdaten. Bis Dezember 2025 hatten sie über eine Million Systeme aktualisiert, was den Traffic zu ihren kontrollierten Adressen um 90 Prozent reduzierte. Bis zum 1. März 2026 fielen die täglichen Updates auf etwa 5.000, was einer Reduktion von 98 Prozent entspricht. Da die verbleibende Präsenz zu gering war, um Botnet-Betreiber anzulocken, beendete Eye die Operation nach dem Versand von mehr als zwei Millionen Updates.

Wie es funktioniert

Die Schwachstelle, verfolgt als CVE-2026-30612, resultiert aus der Art und Weise, wie der Time4Popcorn-Updater kommuniziert. Er prüft auf neue Versionen über einfaches HTTP, was bedeutet, dass die Daten nicht verschlüsselt sind. Noch kritischer ist, dass die Signaturüberprüfung fehlt, sodass er jede Binary akzeptiert und ausführt, die an die angegebene URL geliefert wird. Dieses Design ermöglicht einen Man-in-the-middle-Angriff oder, in diesem Fall, einen Domain-Übernahme-Angriff. Wenn ein Angreifer die Domain kontrolliert, die der Updater abfragt, kontrolliert er den Code, der auf der Client-Maschine ausgeführt wird.

Eye Security nutzte dieselbe fehlende Überprüfung aus, um das Problem zu beheben. Sie registrierten die aufgegebenen Domains und lieferten ein harmloses Update-Paket. Dieses Paket enthielt Anweisungen zum Stoppen des "Update service" unter Windows und zum Entladen des Helpers unter Mac. Der Prozess wurde durch Antivirensoftware erschwert, die das Verhalten als bösartig einstufte, da es die Deaktivierung eines Systemdienstes beinhaltete. Eye musste ihr Update-Paket iterativ anpassen, um die Erkennung durch alle außer einem Scanner zu umgehen, damit der Patch tatsächlich installiert werden und die verwundbare Komponente deaktivieren konnte.

Wichtige Details

• Die Schwachstelle betrifft Time4Popcorn-Versionen bis 6.2.1.18 auf Windows, 6.2.1.17 auf Mac und 3.5.0.173 auf Android.
• CISA bewertet die Schwere von CVE-2026-30612 mit 9,8 von 10 aufgrund der einfachen Ausnutzbarkeit und des Zugriffs mit hohen Privilegien.
• Eye Security übertrug Ende März 2026 die Kontrolle über 15 Webadressen an die Shadowserver Foundation, um eine fortgesetzte sichere Handhabung zu gewährleisten.
• Das Update behebt nicht die Hauptanwendung, die weiterhin eine Browser-Engine von 2014 ohne Sicherheits-Sandbox verwendet und Inhalte über unverschlüsselte Verbindungen lädt.
• Android-Geräte wurden nicht aus der Ferne gepatcht, da der Updater eine manuelle Benutzerakzeptanz für die Installation erfordert, im Gegensatz zu den stillen Hintergrund-Updates auf Desktop-Betriebssystemen.
• Stand 23. Oktober 2026 ist dieser Fehler nicht im Katalog der bekannten ausgenutzten Schwachstellen der CISA aufgeführt.

Warum es wichtig ist

Dieser Vorfall unterstreicht die anhaltende Gefahr durch verwaiste Software-Lieferketten. Wenn ein Projekt eingestellt wird, verfällt seine Infrastruktur oft und lässt offene Türen für Angreifer. Für Entwickler und IT-Leitenden dient dies als deutliche Erinnerung daran, dass Abhängigkeiten und Drittanbieter-Tools auch nach dem Ende der aktiven Entwicklung überwacht werden müssen. Die Tatsache, dass Unternehmens- und Regierungsnetzwerke zu den betroffenen Systemen gehörten, zeigt, dass inoffizielle oder Legacy-Software in Unternehmensumgebungen lange bestehen bleiben kann, nachdem sie eigentlich hätte entfernt werden sollen.

Darüber hinaus wird die ethische und technische Komplexität der "White Hat"-Behebung deutlich. Eye Security musste rechtliche Risiken, False Positives bei Antivirensoftware und den schieren Umfang des Einsatzes abwägen. Ihr Erfolg beruhte auf genau der Schwachstelle, die sie behoben: dem Fehlen der Überprüfung. In einem sichereren System wäre ihr Patch wie jeder andere nicht autorisierte Code abgelehnt worden. Dieses Paradoxon unterstreicht die Bedeutung signierter Updates und Certificate Pinning in der modernen Softwarearchitektur.

Was Sie tun können

• Deinstallieren Sie Popcorn Time oder Time4Popcorn sofort, da die Deaktivierung des Updaters den Rest der Anwendung nicht absichert.
• Deaktivieren Sie den Updater unter Windows manuell, indem Sie sc.exe stop "Update service" gefolgt von sc.exe config "Update service" start= disabled ausführen.
• Entladen Sie den Helper-Prozess unter Mac, indem Sie launchctl unload -w /Library/LaunchDaemons/PT.updd.plist ausführen.
• Scannen Sie Ihr Netzwerk auf Traffic zu den 20 Domains, die im Bericht von Eye Security aufgelistet sind, oder auf das Vorhandensein von Updater.exe- und PT.updd-Dateien.
• Überprüfen Sie das Software-Inventar Ihrer Organisation auf andere verwaiste Anwendungen, die möglicherweise auf unverifizierte Update-Mechanismen angewiesen sind.
• Stellen Sie sicher, dass alle internen und externen Anwendungen signierte Updates und HTTPS mit Certificate Pinning verwenden, um ähnliche Domain-Übernahme-Angriffe zu verhindern.