Uma cópia abandonada do Popcorn Time, o aplicativo que serve para assistir a filmes e séries pirateados, deixou milhões de computadores expostos durante anos. Como ninguém mais cuidava do programa, uma empresa de segurança holandesa decidiu desligar o problema por conta própria.
Um atualizador que obedecia a qualquer um
O programa em questão se chama Time4Popcorn. Segundo o The Hacker News, o atualizador dele, que roda em segundo plano, procurava versões novas por uma conexão sem criptografia e instalava o que recebesse, sem checar quem tinha enviado. Pior: funcionava com o nível máximo de permissão do sistema, o SYSTEM no Windows e o root no Mac.
A falha recebeu o código CVE-2026-30612 e nota 9,8 de 10 da agência americana CISA. Há mais um agravante: os endereços na internet que o atualizador consultava tinham sido abandonados. Quem os registrasse poderia mandar código para todos os computadores que ainda chamassem esses endereços.
Quem agiu e como
A Eye Security, empresa holandesa, encontrou o atualizador durante uma investigação no notebook de um cliente. Sem um fabricante para corrigir o software, a própria Eye enviou uma atualização, batizada de Operação IXIM, que apenas para e desativa o atualizador. Ela não apaga arquivos e não coleta dados.
Os números dão ideia do tamanho do problema. Os pedidos do atualizador somaram mais de 3,8 milhões de identificadores de hardware, e a empresa estima entre 2,5 e 3 milhões de PCs com Windows e entre 250 mil e 350 mil Macs. No total, mais de 2 milhões de atualizações foram baixadas. Em março, a Eye passou os domínios que controlava para a Shadowserver Foundation.
O risco que não chegou a acontecer
Quem controlasse o atualizador poderia instalar ransomware, roubar senhas salvas ou colocar as máquinas numa botnet, uma rede de computadores controlados à distância para ataques. A Eye viu usuários domésticos do mundo todo, e também máquinas em redes de governo, militares e empresas. A empresa não encontrou provas de que outros tenham usado esses endereços para enviar código, mas alguns continuam nas mãos de terceiros, e quem ainda se conecta a eles segue exposto.
Como se proteger
- Desinstale o Popcorn Time. É a recomendação da Eye. Desligar só o atualizador deixa o resto do aplicativo, que também é inseguro: usa um motor de navegador de 2014, com a proteção desligada.
- No Android, remova o aplicativo. O atualizador não pode ser desligado separadamente, e a Eye não enviou atualização para essa versão.
- Se quiser só parar o atualizador no Windows, abra o Prompt de Comando como administrador e rode
sc.exe stop "Update service"e depoissc.exe config "Update service" start= disabled. - Troque senhas salvas no navegador se o programa ficou instalado por muito tempo, por precaução.
- Evite programas abandonados. Software sem manutenção não recebe correções, e o atualizador esquecido é a prova.
