Onderzoekers van Eye Security hebben een kwetsbare Popcorn Time updater uitgeschakeld die miljoenen systemen in potentie kon overnemen. Het gaat om een update-mechanisme van een verlaten variant van Popcorn Time (Time4Popcorn), waarbij de updater onversleuteld contact maakte met remote servers en vervolgens willekeurige executables kon downloaden en starten.
Omdat het originele project al jaren verlaten is, was er geen leverancier om een patch uit te rollen. Eye Security greep daarom zelf in door de domeinen achter de updater uit de lucht te halen en een fix te verspreiden. Desondanks blijft het risico relevant zolang de app nog draait op systemen.
Wat is er mis met de Popcorn Time updater?
Popcorn Time was jarenlang populair als BitTorrent-client waarmee gebruikers films konden bekijken op basis van downloads. In 2014 werd het project verlaten, maar er bleven varianten rondgaan. Eye Security richtte zich op een updatecomponent van Time4Popcorn, een fork die onder de naam Popcorn Time werd verspreid.
De kern van het probleem: de updater maakte via HTTP verbinding met externe servers om updates op te halen. Meerdere update-domeinen waren inmiddels ofwel niet meer in gebruik, ofwel in handen van derden en geparkeerd. In beide gevallen is het lastig te garanderen dat wat een client ontvangt nog klopt of veilig is.
Geen code signing en elke “update” wordt uitgevoerd
De updater draait op de achtergrond bij het opstarten van het systeem en beschikt niet over code signing. Dat betekent dat er geen cryptografische controle is op de authenticiteit of integriteit van wat er binnenkomt.
Concreet: wanneer de updater een uitvoerbaar bestand (executable) van zijn domein ontvangt, downloadt en draait hij dat. Daarmee wordt de kans groter dat een aanvaller het updatepad kan misbruiken om eigen code te laten uitvoeren.
Waarom dit zoveel impact kan hebben
Eye Security constateerde dat systemen wereldwijd contact maakten met het verlaten domein popcorntimeupd.xyz. Daarnaast zagen de onderzoekers verbindingen met andere gerelateerde domeinen. Een belangrijk detail: een groot deel van de getroffen clients kwam uit consumenten-ISPs, maar er waren ook verbindingen zichtbaar vanuit netwerken van organisaties en zelfs vanuit overheids- en militaire omgevingen.
Dat patroon maakt duidelijk dat het risico niet beperkt blijft tot één land of één type internetprovider. In plaats daarvan is het een probleem dat breed kan doorwerken zolang de app en de updater actief zijn.
Welke besturingssystemen zijn geraakt?
De meeste waargenomen systemen draaiden op Windows (ongeveer 2,5 tot 3 miljoen). Daarnaast ging het om macOS (grofweg 250.000 tot 350.000) en Android (minder dan 200.000).
De onderzoekers benadrukken dat deze aantallen gebaseerd zijn op verbindingen met de betrokken domeinen en dus een indicatie vormen van het aantal systemen dat contact maakte met de updater.
Het beveiligingsrisico: verkeer manipuleren en code uitvoeren
Omdat de updater zijn updates ophaalt via onbeveiligde HTTP-connecties, ligt het risico bij verkeersmanipulatie. Een aanvaller die het pad kan beïnvloeden, kan een “malicious update” aanbieden die vervolgens wordt uitgevoerd.
Belangrijk is dat de uitvoering volgens Eye Security kan plaatsvinden met System/root-rechten. Dat maakt het scenario extra ernstig: één succesvolle manipulatie kan leiden tot volledige controle over het apparaat.
De kwetsbaarheid is geregistreerd als CVE-2026-30612.
Wat Eye Security deed om de Popcorn Time updater uit te schakelen
Aangezien het project was verlaten, was er geen vendor om de fout via een reguliere update te verhelpen. Eye Security nam daarom het initiatief en voerde een ingreep uit op domeinniveau.
De onderzoekers registreerden 15 domeinen die niet door een derde partij waren geclaimd, en zorgden dat zij een update verstuurden die het defecte update-mechanisme volledig uitschakelde.
Die operatie startte in november 2025. Tegen maart 2026 had Eye Security ongeveer 2 miljoen systemen van de fix voorzien. Dat resulteerde in een daling van ongeveer 98% in de updateverzoeken richting de betrokken domeinen.
Beperking van de fix: alleen Windows en macOS
De impact van de ingreep was niet overal gelijk. De update die het mechanisme uitschakelde, werd geleverd aan Windows en macOS. Voor Android geldt dat de controle anders werkt: de gebruiker moet actie ondernemen, en de updater maakt deel uit van de applicatie. Daardoor kon het mechanisme op Android niet los worden uitgeschakeld met alleen de getroffen aanpak.
In de praktijk betekent dit: Android-gebruikers die de app nog hebben staan, lopen mogelijk nog steeds extra risico.
Waarom “de updater uitschakelen” niet genoeg is
Zelfs als de updater wordt stilgezet, blijft er een belangrijk probleem bestaan. Eye Security stelt dat de ingreep alleen het updategedeelte heeft uitgezet. De rest van de Popcorn Time applicatie is ongewijzigd.
Daarbij komt dat de applicatie volgens de onderzoekers is gebaseerd op een oude Chrome-versie uit 2014 en geen sandbox gebruikt. Dat vergroot de gevolgen als er via de app zelf of via JavaScript-componenten misbruik kan worden gemaakt.
Eye Security geeft aan dat zij al een proof of concept hebben opgesteld die een Windows-berekening (calc.exe) kan laten uitvoeren via JavaScript. Daarmee is het risico volgens hen realistisch voor wie de software nog gebruikt.
Hun advies is daarom helder: verwijder de Popcorn Time app volledig. Niet alleen de updater uitschakelen, maar de applicatie wegdoen.
Domeinen en laadcodes: sinkholing en overname
Rond eind maart nam de Shadowserver Foundation de relevante domeinen over. Ze blijven sindsdien sinkholed (doorgeleid naar een gecontroleerde bestemming) en er lopen ook andere domeinen mee waar de Popcorn Time applicatie JavaScript code van kon laden—domeinen die eveneens verlaten waren.
Voor netwerkbeheerders en security teams betekent dit dat pogingen om update- of laaddomeinen te bereiken vaker worden afgevangen. Tegelijk wil dat niet zeggen dat de app veilig is: de code en de app blijven nog steeds op clients aanwezig.
Wat moet jij nu doen?
Heb je Popcorn Time (of een Time4Popcorn-variant) op één of meer systemen staan? Volg dan deze stappen.
- Draag de app af: verwijder de Popcorn Time applicatie volledig. Laat geen restcomponenten achter.
- Controleer op updates en uitvoerbaarheid: kijk of er processen draaien die bij het opstarten updates ophalen of executables downloaden.
- Beoordeel endpoints: vooral op Windows en macOS waar de updater zich eenvoudiger laat uitschakelen, maar het programma zelf nog steeds risico kan dragen.
- Let op Android anders: omdat de updater onderdeel is van de app, is de kans groter dat Android-gebruikers niet automatisch dezelfde bescherming ervaren.
Als je binnen je organisatie werkt, is het verstandig om ook bedrijfsnetwerken mee te nemen in je inventaris: Eye Security zag immers dat clients ook van corporate netwerken contact maakten.
Wil je vergelijkbare risico’s in de praktijk aanpakken? Lees dan ook hoe onderzoekers met aanvallen omgaan zodra “update”- of exploitcomponenten doorkomen, bijvoorbeeld bij NetScaler zero-days: wat je nu moet doen.
Vergelijkbare trends: updates en uitvoerbaarheid als aanvalsvlak
Deze casus past in een bredere patroonlijn: aanvallers proberen via update- of leveringmechanismen controle te krijgen. Dat kan gaan om kwetsbare updaters, om supply-chain achtige componenten, of om software die zonder afdoende beveiliging code uitvoert.
De specifieke waarschuwing hier is dat het ontbreken van code signing en het gebruik van HTTP de drempel verlaagt voor misbruik. Zodra de software “wat er binnenkomt” als betrouwbaar behandelt, ontstaat een route richting hogere privileges.
Ben je bezig met endpoint- of app-risico’s rond code-uitvoering, dan kan dit artikel je helpen bij het scherper formuleren van je verwijder- en mitigatiebeleid.
Conclusie
De Popcorn Time updater bleek een gevaarlijk update-mechanisme te hebben dat via HTTP updates kon ophalen en vervolgens executables kon downloaden en draaien. Eye Security blokkeerde dit door domeinen te sinkholen en een fix uit te rollen, waardoor updateverzoeken sterk daalden. Toch blijft het risico bestaan zolang de Popcorn Time app zelf op systemen aanwezig is, mede door het ontbreken van een sandbox en verouderde componenten.
Het meest effectieve antwoord is simpel: verwijder de app volledig en controleer of er geen updater-gerelateerde processen of restcomponenten draaien.
