Eye Securityの研究者らは、放置されていた「Popcorn Time」のフォーク版のアップデート機構を無効化し、関連ドメインをシンクホール化しました。
Popcorn Timeは、ウェブ上からダウンロードした映画を視聴できるBitTorrentクライアントで、10年以上前に高い人気を誇りましたが、プロジェクトは2014年に放棄されました。2025年初頭からは、合法的な代替サービスが開発されています。
Eye Securityが標的としたアップデート機構の脆弱性は、オリジナル版から派生したフォーク「Time4Popcorn」に存在します。このフォークは「Popcorn Time」の名称で配布されてきました。
Eye Securityが発見したところによると、この放置されたアップデーターは、HTTPでリモートサーバーに接続して更新を要求していました。更新用ドメインの多くは放棄されており、残りも第三者が所有して駐車（パーキング）状態になっていました。
アップデーターはシステム起動時にバックグラウンドで動作します。コード署名の仕組みはなく、ドメインが提供する実行ファイルをそのままダウンロードして実行します。
Eye Securityが放棄されていたドメインpopcorntimeupd.xyzを登録したところ、数百万台のシステムが接続してくるのを確認しました。システムは他のドメインにも接続していたため、同社はそれらの一部も登録しています。
特定できたシステムの大半はWindowsで250万〜300万台でした。残りはmacOSが25万〜35万台、Androidが20万台未満です。
Eye Securityは次のように報告しています。「クライアントの大半は世界中の一般向けISPから接続していますが、各国の政府機関や軍の各種ネットワークからの接続も確認しています。企業ネットワークから接続するクライアントも多数見られました。ここから結論を導くのは難しいものの、これらのシステムの多くに犯罪者が強い関心を持つと考えて差し支えないでしょう」
この安全でないアップデーターの通信により、すべての端末でトラフィックが改ざんされる恐れがありました。攻撃者が独自の悪意あるアップデートを配信すれば、System権限やroot権限で実行されてしまいます。この脆弱性はCVE-2026-30612として追跡されています。
プロジェクトが放棄されていたため、アップデートで根本的な欠陥を修正するベンダーは存在しません。そこでEye Securityは自ら対処に乗り出しました。第三者が所有していない15のドメインを登録し、問題のある機構を完全に無効化するアップデートを配信したのです。
Eye Securityは2025年11月に作戦を開始しました。2026年3月までに約200万台のシステムに修正を配信し、同社のドメインへの更新リクエストは98%減少しました。
ただし、更新を配信できたのはWindowsとmacOSのシステムのみです。Androidでは、この処理にユーザーの操作が必要です。さらに、アップデーターがアプリケーションの一部であるため、単独で無効化することはできません。
3月下旬には、The Shadowserver Foundationがこれらのドメインを引き継ぎました。ドメインは、Popcorn TimeアプリケーションがJavaScriptコードを読み込んでいた他のドメイン（こちらも放棄されていました）とともに、現在もシンクホール化されています。
脆弱なアップデーターは手動で無効化することもできます。ただし、このアプリケーションは2014年版のChromeをベースに構築されており、サンドボックスもありません。完全に削除すべきです。
Eye Securityは次のように注意を促しています。「当社のアップデートで無効化したのは、アップデーターだけです。アプリケーションのそれ以外の部分は変更されていないため、今もPopcorn Timeを使い続けている方にはこれらのリスクが残ります。当社はすでに、JavaScript経由でcalc.exeを実行する概念実証（PoC）を作成しており、リスクは現実のものです。だからこそ、助言はシンプルです。アンインストールしてください」
