Ricercatori di sicurezza hanno neutralizzato una grave falla in un'app Popcorn Time abbandonata, che esponeva milioni di utenti a esecuzione di codice remoto. La vulnerabilità, ora corretta, rischiava di compromettere sistemi Windows e macOS.
Una vulnerabilità critica, precedentemente non identificata, in una versione abbandonata dell'app Popcorn Time, nota come Time4Popcorn, ha messo a rischio milioni di utenti di Windows e macOS. Ricercatori di sicurezza della società Eye Security hanno scoperto che il meccanismo di aggiornamento dell'applicazione, non più supportato, poteva essere sfruttato da malintenzionati per eseguire codice arbitrario sui dispositivi delle vittime con privilegi elevati.
La falla, identificata con il codice CVE-2026-30612, risiedeva nel modo in cui gli updater delle versioni Windows e macOS di Time4Popcorn comunicavano con il dominio associato agli aggiornamenti, popcorntimeupd.xyz. La comunicazione avveniva tramite il protocollo HTTP, privo di crittografia, e il software accettava l'installazione di file eseguibili senza alcuna verifica della loro firma digitale. Questo significava che chiunque fosse in grado di controllare il dominio degli aggiornamenti avrebbe potuto intercettare il traffico e sostituire gli aggiornamenti legittimi con codice malevolo.
L'impatto potenziale era significativo: un attaccante avrebbe potuto ottenere l'esecuzione di codice a livello di sistema (SYSTEM su Windows e root su macOS), garantendo il pieno controllo del dispositivo compromesso.
Popcorn Time era originariamente un client BitTorrent con un'interfaccia simile a Netflix, che permetteva agli utenti di guardare contenuti piratati in streaming. Il progetto originale fu abbandonato a causa di problemi legali, ma diede origine a numerosi fork, tra cui Time4Popcorn. Quest'ultimo, pur essendo stato lanciato come un'app di streaming di contenuti legittimi, ha continuato a utilizzare il nome Popcorn Time, attirando milioni di utenti.
I ricercatori di Eye Security hanno scoperto la falla dopo aver registrato il dominio popcorntimeupd.xyz, che era stato precedentemente abbandonato. Analizzando le connessioni, hanno rilevato fino a 3 milioni di connessioni da client Windows e 350.000 da client macOS a questo dominio. Le connessioni provenivano da una vasta gamma di reti, incluse quelle domestiche, aziendali, governative e militari. È emerso che molti di questi utenti probabilmente avevano installato l'app in passato e l'avevano poi dimenticata, lasciando i loro sistemi vulnerabili.
Consapevoli del rischio che questa vulnerabilità potesse cadere nelle mani sbagliate, i ricercatori hanno deciso di intervenire. Tra il novembre 2025 e il marzo 2026, hanno utilizzato il meccanismo di aggiornamento vulnerabile per distribuire un codice di rimedio. Questo codice aveva il solo scopo di interrompere e disabilitare il servizio di aggiornamento, senza raccogliere dati sugli utenti o modificare i loro file, operando quindi in un contesto legale.
Per aggirare i software antivirus che inizialmente segnalavano il loro payload come malevolo a causa della disabilitazione di un servizio, i ricercatori hanno dovuto adattare il codice. Al termine dell'operazione di rimedio, hanno registrato circa 2 milioni di download del loro aggiornamento e, entro il 1° marzo, le richieste al loro dominio di aggiornamento sono diminuite del 98%, indicando un successo significativo nell'operazione.
Nonostante il successo dell'intervento, i ricercatori avvertono che il rischio non è stato completamente eliminato per tutti gli utenti. In particolare:
La raccomandazione principale per gli utenti che hanno ancora installata questa versione dell'app è di rimuoverla completamente dai propri dispositivi per eliminare ogni potenziale rischio di sicurezza. La proprietà del dominio popcorntimeupd.xyz è stata successivamente trasferita alla Shadowserver Foundation, un'organizzazione no-profit dedicata alla sicurezza informatica, per garantire che non possa essere riutilizzato per scopi malevoli.
Questo incidente sottolinea l'importanza di disinstallare applicazioni obsolete o non più supportate, poiché possono diventare vettori di attacco anche anni dopo il loro abbandono.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
