セキュリティ企業、放置された数百万件のPopcorn Timeインストールのアップデータをリモートで無効化

2025年11月から2026年3月にかけて、オランダのセキュリティ企業Eye Securityは、放置されたソフトウェアにおける重大な脆弱性を中和するため、大規模なリモート介入を実施しました。同社は自社が所有していないコンピュータに対して200万件以上のアップデートをプッシュし、廃止されたストリーミングアプリ「Popcorn Time」の非公式コピーであるTime4Popcorn内のバックグラウンドアップデータを対象としました。この作戦は、パッチ未適用の更新メカニズムを通じて悪意ある攻撃者がこれらのマシンを乗っ取ることを防ぐことを目的としていました。

何が起きたか

Eye Securityは、定期的な脅威ハンティング中にこの脆弱性を発見しました。アナリストがクライアントノートPC上で、未登録のWebアドレスに接続しようとしている「Updater.exe」というプログラムを確認したためです。チームが自らそのドメインを登録したところ、さまざまなデバイスから毎秒約50件のリクエストが観測されました。6か月間で、これらのリクエストには380万を超える一意なハードウェア識別子が含まれていました。Windows PC上の重複IDやMac上の変化するIDを調整した後、Eye Securityは影響を受けたコンピュータがWindowsで250万〜300万台、Macで25万〜35万台であると推定しました。

このアップデータは、WindowsではSYSTEM、Macではrootと呼ばれる高い権限で実行され、送信元を検証せずに暗号化されていない接続経由で送られたコンテンツをすべてインストールしていました。元のドメインが放棄されていたため、誰でもそれらを登録すれば、接続されているすべてのマシンにマルウェア、ランサムウェア、またはボットネットクライアントを配布することが可能でした。Eye Securityは家庭内ネットワークだけでなく、政府、軍事、企業インフラにも影響を受けたデバイスが存在することを特定しましたが、これらのエンタープライズ接続の具体的な性質については結論を出すのが難しいと指摘しています。

リスクを軽減するため、Eye Securityは「Operation IXIM」を開始しました。法的助言を得た後、脆弱なアップデータを利用して、サービスを単に停止・無効化するパッチを配信しました。ファイルの削除やユーザーデータの収集は行っていません。2025年12月までに100万台以上のシステムを更新し、制御下のアドレスへのトラフィックを90パーセント削減しました。2026年3月1日までに、日々のアップデート数は約5,000件に減少し、これは98パーセントの削減にあたります。残存するフットプリントはボットネット運営者を惹きつけるには小さすぎると判断し、Eye Securityは200万件以上のアップデートを送信した後に作戦を終了しました。

仕組み

CVE-2026-30612として追跡されているこの脆弱性は、Time4Popcornのアップデータの通信方法に起因します。新しいバージョンの確認に平文のHTTPを使用しており、データは暗号化されていません。さらに重要なのは、署名検証がないため、指定されたURLに配信されたバイナリであれば何でも受け入れて実行してしまう点です。この設計により、中間者攻撃（man-in-the-middle attack）が可能となり、今回のケースではドメイン乗っ取り攻撃が可能になります。もし攻撃者がアップデータが照会するドメインを制御すれば、クライアントマシン上で実行されるコードも制御できることになります。

Eye Securityはこの検証機能の欠如を逆手に取って問題を修正しました。彼らは放棄されたドメインを登録し、無害なアップデートパッケージを提供しました。このパッケージには、Windows上の「Update service」を停止し、Mac上のヘルパーをアンロードするための指示が含まれていました。このプロセスは、システムサービスの無効化という挙動がマルウェアとして検出されるため、アンチウイルスソフトウェアによって複雑になりました。Eye Securityは、1つのスキャナーを除くすべての検知を回避するためにアップデートパッケージを反復的に調整する必要があり、パッチが実際にインストールされ、脆弱なコンポーネントを無効化できるようにしました。

主要な詳細

• この脆弱性は、Windows版Time4Popcornの6.2.1.18まで、Mac版の6.2.1.17まで、Android版の3.5.0.173までに影響します。
• CISAは、悪用の容易さと高権限アクセスのため、CVE-2026-30612の深刻度を10段階中9.8と評価しています。
• Eye Securityは2026年3月下旬、安全な管理の継続を確保するため、15個のWebアドレスの制御権をShadowserver Foundationに移管しました。
• このアップデートはメインアプリケーション自体を修正しておらず、依然としてセキュリティサンドボックスのない2014年のブラウザエンジンを使用し、暗号化されていない接続経由でコンテンツを読み込んでいます。
• Androidデバイスは、デスクトップOSのようなサイレントなバックグラウンドアップデートとは異なり、インストール時にユーザーによる手動承認が必要なため、リモートでパッチ適用されていません。
• 2026年10月23日時点では、この欠陥はCISAの既知の悪用済み脆弱性カタログに記載されていません。

なぜ重要なのか

この事案は、放置されたソフトウェアサプライチェーンの永続的な危険性を浮き彫りにしています。プロジェクトが中止されると、そのインフラはしばしば劣化し、攻撃者にとって開かれたドアを残すことになります。開発者やITリーダーにとって、これはアクティブな開発が停止した後も依存関係やサードパーティツールを監視し続ける必要があるという厳しい教訓となります。企業および政府ネットワークが影響を受けたシステムのうちに含まれていたという事実は、非公式またはレガシーソフトウェアが、本来削除されるべき時期を過ぎてもエンタープライズ環境に残り続ける可能性があることを示しています。

さらに、「ホワイトハット」による修復作業の倫理的および技術的複雑さも明白です。Eye Securityは法的リスク、アンチウイルスの誤検知、そして展開の膨大なスケールとのバランスを取る必要がありました。彼らの成功は、まさに修正しようとしていた欠陥、つまり検証機能の欠如に依存していました。より安全なシステムであれば、他の不正なコードと同様に、彼らのパッチは拒否されていたでしょう。このパラドックスは、現代のソフトウェアアーキテクチャにおいて、署名付きアップデートと証明書ピン留めがいかに重要であるかを強調しています。

あなたができること

• アップデータを無効化してもアプリケーション全体の安全性は確保されないため、Popcorn TimeまたはTime4Popcornを直ちにアンインストールしてください。
• Windowsでは、sc.exe stop "Update service"を実行し、続いてsc.exe config "Update service" start= disabledを実行して、手動でアップデータを無効化してください。
• Macでは、launchctl unload -w /Library/LaunchDaemons/PT.updd.plistを実行してヘルパープロセスをアンロードしてください。
• Eye Securityのレポートに記載されている20個のドメインへのトラフィック、またはUpdater.exeおよびPT.upddファイルの有無について、ネットワークをスキャンしてください。
• 検証されていない更新メカニズムに依存している可能性のある他の放置されたアプリケーションについて、組織のソフトウェア在庫を見直してください。
• 同様のドメイン乗っ取り攻撃を防ぐため、すべての内部および外部アプリケーションで署名付きアップデートと、証明書ピン留めを用いたHTTPSを使用するようにしてください。