De Popcorn Time updater waar Eye Security onderzoek naar deed, was meer dan een “achtergrondtool”. Onderzoekers spraken over een updater die op Windows en macOS automatisch checkte op nieuwe versies en die, afhankelijk van wat er werd teruggestuurd, code kon laten draaien met zeer hoge rechten. Daardoor kon een kwaadwillende via de juiste webadressen de machines potentieel omzetten voor aanvallen.
Eye Security registreerde de gebruikte adressen, zette een proefopstelling op en liet vervolgens miljoenen updates uitrollen om de updater uit te schakelen. In dit artikel zetten we de feiten op een rij en vertalen we het naar praktische acties voor wie Popcorn Time gebruikt.
Wat was de Popcorn Time updater precies?
Tussen november 2025 en maart 2026 pushte Eye Security meer dan 2 miljoen updates naar computers die het bedrijf niet zelf beheerde. Het doel was één component uit te zetten: een updater die volgens Eye begon als onderdeel van Time4Popcorn, een verlaten kopie van de populaire Popcorn Time-app.
Popcorn Time was ongeveer een decennium geleden populair en de oorspronkelijke versie stopte in 2014. Toch bleven er versies rondgaan onder dezelfde naam. Belangrijk: er bestaat ook een afzonderlijk, juridisch project dat in 2025 de naam Popcorn Time gebruikte, maar dat staat volgens Eye Security los van deze updater.
Hoe vonden onderzoekers het probleem?
Eye Security monitorde clientnetwerken en trof tijdens een routine threat hunt een gedragspatroon aan. Op een laptop bleef een programma met de bestandsnaam Updater.exe proberen om contact te leggen met een webadres dat niet meer bestond voor registratie.
Door dat adres zelf te registreren, kreeg Eye zicht op het verkeer: er kwamen ongeveer 50 verzoeken per seconde binnen. Over een periode van zes maanden verzamelde de organisatie meer dan 3,8 miljoen verschillende hardware-identifiers.
Die hardware-id’s bleken niet betrouwbaar om apparaten te tellen (sommige Windows-pc’s deelden één id, macOS-apparaten konden hun id wisselen). Eye herzag de schatting naar grofweg 2,5 tot 3 miljoen Windows-computers en 250.000 tot 350.000 Macs.
Waarom was de Popcorn Time updater gevaarlijk?
De kern van het risico zat in het updategedrag. De updater draaide op de achtergrond vanaf het moment dat een computer opstartte. Hij controleerde nieuwe versies via een onversleutelde verbinding en installeerde wat er werd teruggestuurd.
Volgens Eye Security deed hij dat bovendien met de hoogste systeemrechten. Op Windows ging het om het SYSTEM-niveau; op macOS om privileges op “root”-niveau. Daarnaast controleerde de updater niet wie de update leverde en maakte er geen aantoonbare verificatie plaats voor authenticiteit.
Wat kon een aanvaller hiermee doen?
Omdat de webadressen die de updater benaderde later “verlaten” waren, kon iemand die het juiste adres registreerde potentieel zijn eigen code laten uitrollen op elke machine die nog probeerde te updaten. Eye Security noemt als mogelijke gevolgen:
- het installeren van ransomware;
- het diefstal van opgeslagen wachtwoorden;
- het toevoegen van een apparaat aan een botnet.
Eye Security zag in de mapping van de adressen zowel thuisgebruikers wereldwijd als systemen binnen overheids-, militaire en zakelijke omgevingen. Tegelijk gaf de organisatie aan dat er “moeilijk conclusies te trekken” zijn op basis van die observaties.
CVE-2026-30612 en de getroffen versies
Eye Security rapporteerde de kwetsbaarheid in juni. De issue kreeg de trackingsnaam CVE-2026-30612. CISA (de Amerikaanse Cybersecurity and Infrastructure Security Agency) beoordeelde de kwetsbaarheid met 9,8 op 10.
De kwetsbaarheid treft drie versies van Time4Popcorn:
- Windows, tot en met versie 6.2.1.18
- macOS, tot en met versie 6.2.1.17
- Android, tot en met versie 3.5.0.173
Eye Security schakelde de updater tegen zichzelf uit
Omdat er volgens Eye Security geen bedrijf meer was dat de software kon fixen en er geen patch beschikbaar kwam, kozen de onderzoekers voor een andere route: de updater werd gebruikt om zichzelf te stoppen.
Na juridisch advies stuurde Eye een update naar de getroffen systemen die één doel had: de updater stopzetten en uitschakelen, zonder bestanden te verwijderen en zonder extra data te verzamelen.
Eye vergeleek deze aanpak met een eerdere operatie uit 2021, toen Nederlandse politie geïnfecteerde systemen met Emotet via een update uitschakelde. Het verschil dat Eye benadrukt: Emotet-slachtoffers kozen niet om geïnfecteerd te worden, terwijl Popcorn Time gebruikers de app wel zelf installeerden. Maar volgens Eye blijft het probleem dat er jarenlang een vergeten achtergrondcomponent kon blijven draaien.
Waarom duurde het en hoe werd de uitrol bijgestuurd?
Al snel dook de update die Eye leverde op in VirusTotal. Daardoor gingen sommige antivirusmachines de nieuwe update als malware markeren. Eye merkte op dat elke beveiligingsengine die het proces blokkeerde, de kwetsbare updater juist actief liet.
Daarom paste Eye de update aan tot nog maar één scanner het blokkeerde. In december 2025 had Eye meer dan 1 miljoen systemen bijgewerkt en het verkeer richting de webadressen met ongeveer 90% teruggebracht. Tegen 1 maart gingen de onderzoekers van ongeveer 5.000 updates per dag uit, een daling van 98%. Toen de resterende aantallen te klein leken om relevant te zijn voor een botnetoperator, stopte Eye met verdere uitrol.
Wat betekent dit voor de resterende risico’s?
Het uitschakelen van de updater neemt niet automatisch alle gevaren rond de rest van Popcorn Time weg. Eye stelde dat de app zelf, inclusief een oudere browser-engine uit 2014, beveiligingsmaatregelen had die niet op dezelfde manier waren ingeregeld als moderne sandboxing.
Daarnaast werd content geladen via onversleutelde verbindingen en haalde de app code op vanaf andere verlaten webadressen. Eye registreerde die verlaten adressen ook, wat volgens hen de mogelijkheid had gegeven om eigen code te leveren aan elke machine die de app gebruikte.
De uitrol van de “tegenupdate” veranderde uitsluitend de updater. Wie Popcorn Time bleef gebruiken, bleef dus volgens Eye profiteren van een omgeving die nog steeds onveilig kan zijn.
Wat moeten gebruikers nu doen?
Eye’s belangrijkste advies aan gebruikers is duidelijk: verwijder Popcorn Time. Het uitschakelen van alleen de updater kan, maar Eye benadrukt dat verwijderen het veiligste is omdat de rest van de app in de praktijk gevaarlijk kan blijven.
Updaten/uitschakelen op Windows
Als je alleen de updater wilt uitschakelen (niet de volledige app), dan kan dat volgens Eye met twee commando’s die de “Update service” stoppen en uitzetten:
- sc.exe stop “Update service”
- sc.exe config “Update service” start= disabled
Uitschakelen op macOS
Op macOS adviseerde Eye één commando om de helper uit te laden:
- launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
Android: updater kan niet los worden uitgeschakeld
Op Android zit de updater in de app zelf. Eye gaf aan dat uitschakelen “op zichzelf” niet mogelijk is en dat de updater alleen wordt geïnstalleerd nadat de gebruiker het expliciet accepteert. Daarom stuurde Eye geen updates naar Android-apparaten; volgens Eye is verwijderen van de app daar de enige echte oplossing.
Hoe controleer je of jouw systeem te maken heeft met de updater?
Voor defenders (en IT-afdelingen) beschrijft Eye meerdere controlepunten. Je kunt bijvoorbeeld kijken naar de aanwezigheid van de bestandscomponenten:
- Windows: Updater.exe
- macOS: PT.updd
Daarnaast is er volgens Eye verkeer te relateren aan de webadressen uit hun publicatie, inclusief een lijst met domeinen en bestands-hashes. Wie dit intern wil uitzoeken, kan de indicatoren uit de Eye-write-up gebruiken om verdachte verbindingen te herleiden.
Als je daarnaast bredere signalen rond supply-chain en updateketens interessant vindt, lees ook eens ons artikel over de risico’s rond een LiteLLM supply chain aanval via PyPI en Docker.
Vergelijkbare aanpakken: malware uitschakelen via updates
De aanpak van Eye Security staat niet op zichzelf. In eerdere gevallen (zoals bij Emotet) werd ook met updates ingegrepen om geïnfecteerde systemen te “keren”. Het idee is dan: gebruik het distributiemechanisme om het schadelijke gedrag te neutraliseren.
Voor context over hoe verdedigers met detectie en respons omgaan bij dergelijke ketens, kan het relevant zijn om te kijken naar onze analyse rond AI-agenten als insider threat. Dat gaat over een ander type dreiging, maar raakt wel aan dezelfde vraag: hoe voorkom je dat tooling of automatisering ongewenst doorslaat naar echte schade.
Conclusie
De Popcorn Time updater vormde een ernstig risico omdat hij automatisch updates kon installeren vanaf “verlaten” webadressen en dat met zeer hoge rechten. Eye Security schakelde de updaterkant uit door miljoenen systemen een gerichte tegenupdate te sturen, waardoor de hoeveelheid verkeer sterk daalde. Toch blijft het belangrijkste advies staan: verwijder Popcorn Time, omdat de rest van de app volgens Eye nog steeds onveilig kan zijn.
Bron: https://thehackernews.com/2026/10/researchers-push-over-2-million-updates.html
