Une société de sécurité désactive à distance le programme de mise à jour de millions d'installations abandonnées de Popcorn Time

Entre novembre 2025 et mars 2026, la société néerlandaise de sécurité Eye Security a mené une intervention à distance à grande échelle pour neutraliser une faille critique dans un logiciel abandonné. L'entreprise a poussé plus de deux millions de mises à jour vers des ordinateurs qui ne lui appartenaient pas, ciblant un programme de mise à jour en arrière-plan au sein de Time4Popcorn, une copie non officielle de l'application de streaming disparue Popcorn Time. Cette opération visait à empêcher des acteurs malveillants de pirater ces machines via un mécanisme de mise à jour non corrigé.

Ce qui s'est passé

Eye Security a découvert la faille lors d'une chasse aux menaces de routine lorsque ses analystes ont remarqué qu'un programme nommé Updater.exe, sur l'ordinateur portable d'un client, tentait de contacter une adresse web non enregistrée. Après avoir eux-mêmes enregistré le domaine, l'équipe a observé environ 50 requêtes par seconde provenant de divers appareils. En six mois, ces requêtes contenaient plus de 3,8 millions d'identifiants matériels uniques. Après ajustement pour tenir compte des identifiants dupliqués sur les PC Windows et des identifiants changeants sur les Mac, Eye a estimé que entre 2,5 et 3 millions d'ordinateurs Windows et 250 000 à 350 000 Mac étaient affectés.

Le programme de mise à jour s'exécutait avec des privilèges élevés, connus sous le nom de SYSTEM sur Windows et root sur Mac, et installait tout contenu envoyé via une connexion non chiffrée sans vérifier l'expéditeur. Comme les domaines originaux avaient été abandonnés, toute personne ayant enregistré ces domaines aurait pu distribuer des logiciels malveillants, des ransomwares ou des clients de botnet à chaque machine connectée. Eye Security a identifié des appareils affectés sur des réseaux domestiques ainsi que sur des infrastructures gouvernementales, militaires et d'entreprise, bien qu'ils aient noté qu'il est difficile de tirer des conclusions sur la nature spécifique de ces connexions professionnelles.

Pour atténuer le risque, Eye Security a lancé l'Opération IXIM. Après avoir consulté des conseillers juridiques, ils ont utilisé le programme de mise à jour vulnérable pour livrer un correctif qui se contentait d'arrêter et de désactiver le service. Ils n'ont supprimé aucun fichier ni collecté de données utilisateur. En décembre 2025, ils avaient mis à jour plus d'un million de systèmes, réduisant le trafic vers leurs adresses contrôlées de 90 %. Au 1er mars 2026, les mises à jour quotidiennes sont tombées à environ 5 000, soit une réduction de 98 %. Jugeant l'empreinte restante trop faible pour attirer les opérateurs de botnets, Eye a cessé ses opérations après avoir envoyé plus de deux millions de mises à jour.

Fonctionnement

La faille, suivie sous la référence CVE-2026-30612, provient de la manière dont le programme de mise à jour de Time4Popcorn communique. Il vérifie les nouvelles versions en utilisant HTTP simple, ce qui signifie que les données ne sont pas chiffrées. Plus critique encore, il manque de vérification de signature, acceptant et exécutant donc tout binaire livré à l'URL spécifiée. Cette conception permet une attaque de type homme du milieu (man-in-the-middle) ou, dans ce cas, une prise de contrôle de domaine. Si un attaquant contrôle le domaine interrogé par le programme de mise à jour, il contrôle le code exécuté sur la machine cliente.

Eye Security a exploité cette même absence de vérification pour corriger le problème. Ils ont enregistré les domaines abandonnés et servi un package de mise à jour bénin. Ce package contenait des instructions pour arrêter le « Update service » sur Windows et décharger l'assistant sur Mac. Le processus a été compliqué par les logiciels antivirus, qui ont signalé ce comportement comme malveillant car il impliquait la désactivation d'un service système. Eye a dû ajuster itérativement leur package de mise à jour pour contourner la détection par tous les scanners sauf un, garantissant ainsi que le correctif puisse réellement installer et désactiver le composant vulnérable.

Détails clés

• La faille affecte les versions de Time4Popcorn jusqu'à la 6.2.1.18 sur Windows, la 6.2.1.17 sur Mac, et la 3.5.0.173 sur Android.
• CISA évalue la sévérité de la CVE-2026-30612 à 9,8 sur 10 en raison de la facilité d'exploitation et de l'accès à des privilèges élevés.
• Eye Security a transféré le contrôle de 15 adresses web à la Shadowserver Foundation fin mars 2026 pour assurer une gestion sûre continue.
• La mise à jour n'a pas corrigé l'application principale, qui utilise toujours un moteur de navigateur de 2014 sans bac à sable de sécurité et charge du contenu via des connexions non chiffrées.
• Les appareils Android n'ont pas été corrigés à distance car le programme de mise à jour nécessite une acceptation manuelle de l'utilisateur pour l'installation, contrairement aux mises à jour silencieuses en arrière-plan sur les systèmes d'exploitation de bureau.
• Au 23 octobre 2026, cette faille n'est pas répertoriée dans le catalogue des vulnérabilités connues exploitées de CISA.

Pourquoi c'est important

Cet incident met en évidence le danger persistant des chaînes d'approvisionnement logicielles abandonnées. Lorsqu'un projet est discontinué, son infrastructure se dégrade souvent, laissant des portes ouvertes aux attaquants. Pour les développeurs et les responsables IT, cela sert de rappel brutal que les dépendances et les outils tiers doivent être surveillés même après l'arrêt du développement actif. Le fait que des réseaux d'entreprise et gouvernementaux figurent parmi les systèmes affectés montre que les logiciels non officiels ou hérités peuvent persister dans les environnements professionnels longtemps après qu'ils auraient dû être retirés.

De plus, la complexité éthique et technique de la remédiation « white hat » est évidente. Eye Security a dû équilibrer les risques juridiques, les faux positifs des antivirus et l'ampleur pure du déploiement. Leur succès reposait sur la faille même qu'ils corrigeaient : l'absence de vérification. Dans un système plus sécurisé, leur correctif aurait été rejeté comme tout autre code non autorisé. Ce paradoxe souligne l'importance des mises à jour signées et du certificate pinning dans l'architecture logicielle moderne.

Ce que vous pouvez faire

• Désinstallez immédiatement Popcorn Time ou Time4Popcorn, car la désactivation du programme de mise à jour ne sécurise pas le reste de l'application.
• Sur Windows, désactivez manuellement le programme de mise à jour en exécutant sc.exe stop "Update service" suivi de sc.exe config "Update service" start= disabled.
• Sur Mac, déchargez le processus assistant en exécutant launchctl unload -w /Library/LaunchDaemons/PT.updd.plist.
• Scannez votre réseau à la recherche de trafic vers les 20 domaines listés dans le rapport d'Eye Security ou pour la présence de fichiers Updater.exe et PT.updd.
• Passez en revue l'inventaire logiciel de votre organisation pour identifier d'autres applications abandonnées qui pourraient compter sur des mécanismes de mise à jour non vérifiés.
• Assurez-vous que toutes les applications internes et externes utilisent des mises à jour signées et HTTPS avec certificate pinning pour prévenir des attaques similaires de prise de contrôle de domaine.