Công ty bảo mật vô hiệu hóa từ xa trình cập nhật cho hàng triệu bản cài đặt Popcorn Time bị bỏ rơi

Từ tháng 11 năm 2025 đến tháng 3 năm 2026, công ty bảo mật Hà Lan Eye Security đã thực hiện một cuộc can thiệp từ xa quy mô lớn nhằm vô hiệu hóa một lỗ hổng nghiêm trọng trong phần mềm bị bỏ rơi. Công ty này đã đẩy hơn hai triệu bản cập nhật tới những máy tính mà họ không sở hữu, nhắm mục tiêu vào trình cập nhật nền trong Time4Popcorn, một phiên bản sao chép không chính thức của ứng dụng phát trực tuyến Popcorn Time đã ngừng hoạt động. Chiến dịch này nhằm ngăn chặn các đối tượng xấu chiếm quyền điều khiển những máy móc này thông qua cơ chế cập nhật chưa được vá.

Chuyện gì đã xảy ra

Eye Security phát hiện ra lỗ hổng trong quá trình săn tìm mối đe dọa thường lệ khi các nhà phân tích nhận thấy một chương trình có tên Updater.exe trên laptop của khách hàng đang cố gắng kết nối tới một địa chỉ web chưa đăng ký. Sau khi tự mình đăng ký tên miền đó, nhóm này quan sát thấy khoảng 50 yêu cầu mỗi giây từ nhiều thiết bị khác nhau. Trong vòng sáu tháng, các yêu cầu này chứa hơn 3,8 triệu định danh phần cứng duy nhất. Sau khi loại trừ các ID trùng lặp trên PC Windows và xử lý các ID thay đổi trên Mac, Eye ước tính rằng có từ 2,5 đến 3 triệu máy tính Windows và từ 250.000 đến 350.000 máy Mac bị ảnh hưởng.

Trình cập nhật chạy với đặc quyền cao, được gọi là SYSTEM trên Windows và root trên Mac, đồng thời cài đặt bất kỳ nội dung nào được gửi tới nó qua kết nối không mã hóa mà không xác minh nguồn gửi. Do các tên miền gốc đã bị bỏ rơi, bất kỳ ai đăng ký chúng đều có thể phân phối malware, ransomware hoặc client botnet tới mọi máy được kết nối. Eye Security xác định các thiết bị bị ảnh hưởng nằm cả trên mạng gia đình lẫn hạ tầng chính phủ, quân sự và doanh nghiệp, mặc dù họ lưu ý rằng khó có thể đưa ra kết luận về bản chất cụ thể của các kết nối doanh nghiệp đó.

Để giảm thiểu rủi ro, Eye Security đã khởi động Chiến dịch IXIM. Sau khi tham vấn pháp lý, họ sử dụng chính trình cập nhật dễ bị tổn thương để cung cấp một bản vá đơn giản dừng và vô hiệu hóa dịch vụ. Họ không xóa tệp tin hay thu thập dữ liệu người dùng. Tính đến tháng 12 năm 2025, họ đã cập nhật hơn một triệu hệ thống, giảm lượng truy cập tới các địa chỉ do họ kiểm soát xuống 90%. Đến ngày 1 tháng 3 năm 2026, số lượng cập nhật hàng ngày giảm xuống còn khoảng 5.000, tương đương mức giảm 98%. Nhận thấy dấu vết còn lại quá nhỏ để thu hút các nhà vận hành botnet, Eye đã chấm dứt chiến dịch sau khi gửi đi hơn hai triệu bản cập nhật.

Cơ chế hoạt động

Lỗ hổng, được theo dõi dưới mã CVE-2026-30612, bắt nguồn từ cách trình cập nhật Time4Popcorn giao tiếp. Nó kiểm tra các phiên bản mới bằng HTTP thuần túy, nghĩa là dữ liệu không được mã hóa. Nghiêm trọng hơn, nó thiếu cơ chế xác minh chữ ký, nên chấp nhận và thực thi bất kỳ binary nào được tải về từ URL chỉ định. Thiết kế này cho phép tấn công trung gian (man-in-the-middle) hoặc, trong trường hợp này, là tấn công chiếm đoạt tên miền. Nếu kẻ tấn công kiểm soát tên miền mà trình cập nhật truy vấn, chúng sẽ kiểm soát mã chạy trên máy khách.

Eye Security đã khai thác chính sự thiếu xác minh này để khắc phục vấn đề. Họ đăng ký các tên miền bị bỏ rơi và cung cấp một gói cập nhật vô hại. Gói này chứa các chỉ thị để dừng "Update service" trên Windows và unload helper trên Mac. Quá trình này trở nên phức tạp do phần mềm diệt virus đánh dấu hành vi là độc hại vì liên quan đến việc vô hiệu hóa một dịch vụ hệ thống. Eye đã phải điều chỉnh gói cập nhật theo từng bước để vượt qua sự phát hiện của tất cả các trình quét ngoại trừ một, đảm bảo bản vá có thể thực sự cài đặt và vô hiệu hóa thành phần dễ bị tổn thương.

Chi tiết chính

• Lỗ hổng ảnh hưởng đến các phiên bản Time4Popcorn lên tới 6.2.1.18 trên Windows, 6.2.1.17 trên Mac và 3.5.0.173 trên Android.
• CISA xếp hạng mức độ nghiêm trọng của CVE-2026-30612 ở mức 9,8/10 do dễ khai thác và có quyền truy cập đặc quyền cao.
• Eye Security đã chuyển giao quyền kiểm soát 15 địa chỉ web cho Shadowserver Foundation vào cuối tháng 3 năm 2026 để đảm bảo xử lý an toàn liên tục.
• Bản cập nhật không sửa chữa ứng dụng chính, vốn vẫn sử dụng engine trình duyệt từ năm 2014 không có sandbox bảo mật và tải nội dung qua kết nối không mã hóa.
• Các thiết bị Android không được vá từ xa vì trình cập nhật yêu cầu người dùng chấp nhận thủ công để cài đặt, khác với các bản cập nhật nền im lặng trên hệ điều hành desktop.
• Tính đến ngày 23 tháng 10 năm 2026, lỗi này không được liệt kê trong danh mục các lỗ hổng đã biết bị khai thác của CISA.

Tại sao điều này quan trọng

Sự cố này làm nổi bật mối nguy hiểm dai dẳng của chuỗi cung ứng phần mềm bị bỏ rơi. Khi một dự án bị ngừng, hạ tầng của nó thường suy tàn, để ngỏ cửa cho kẻ tấn công. Đối với các nhà phát triển và lãnh đạo IT, đây là lời nhắc nhở rõ ràng rằng các dependency và công cụ bên thứ ba phải được giám sát ngay cả khi phát triển chủ động đã dừng lại. Việc các mạng doanh nghiệp và chính phủ nằm trong số những hệ thống bị ảnh hưởng cho thấy phần mềm không chính thức hoặc cũ kỹ có thể tồn tại trong môi trường doanh nghiệp lâu sau khi lẽ ra chúng phải bị gỡ bỏ.

Hơn nữa, tính phức tạp về mặt đạo đức và kỹ thuật của việc khắc phục kiểu "white hat" là rất rõ ràng. Eye Security đã phải cân bằng giữa rủi ro pháp lý, cảnh báo giả từ phần mềm diệt virus và quy mô triển khai khổng lồ. Thành công của họ dựa vào chính lỗ hổng mà họ đang sửa: sự thiếu xác minh. Trong một hệ thống bảo mật hơn, bản vá của họ sẽ bị từ chối giống như bất kỳ mã trái phép nào khác. Nghịch lý này nhấn mạnh tầm quan trọng của các bản cập nhật có chữ ký và certificate pinning trong kiến trúc phần mềm hiện đại.

Bạn có thể làm gì

• Gỡ cài đặt Popcorn Time hoặc Time4Popcorn ngay lập tức, vì vô hiệu hóa trình cập nhật không bảo vệ được phần còn lại của ứng dụng.
• Trên Windows, hãy tắt thủ công trình cập nhật bằng cách chạy sc.exe stop "Update service" tiếp theo là sc.exe config "Update service" start= disabled.
• Trên Mac, unload tiến trình helper bằng cách thực thi launchctl unload -w /Library/LaunchDaemons/PT.updd.plist.
• Quét mạng của bạn để tìm lưu lượng truy cập tới 20 tên miền được liệt kê trong bài viết của Eye Security hoặc sự hiện diện của các tệp Updater.exe và PT.updd.
• Xem xét lại danh mục phần mềm của tổ chức bạn để tìm các ứng dụng bị bỏ rơi khác có thể phụ thuộc vào cơ chế cập nhật không được xác minh.
• Đảm bảo tất cả các ứng dụng nội bộ và bên ngoài sử dụng bản cập nhật có chữ ký và HTTPS với certificate pinning để ngăn chặn các cuộc tấn công chiếm đoạt tên miền tương tự.