Drei Millionen PCs waren nur eine Domainregistrierung von einem Botnetz entfernt

Fangen wir mit dem Detail an, das alles verriet. Auf einem Laptop bei einem Kunden von Eye Security lief immer wieder ein Programm namens Updater.exe, und Updater.exe versuchte immer wieder, eine Webadresse zu erreichen, die niemandem mehr gehörte. Abgelaufene Domains sind billig. Wer sie als Nächster registriert, bestimmt, was dort antwortet.

Also registrierten sie popcorntimeupd.xyz und sahen zu, was hereinkam: rund 50 Anfragen pro Sekunde aus aller Welt. Die anfragende Software war Time4Popcorn, ein Ableger des alten Film-Clients Popcorn Time, seit Jahren verwaist und immer noch auf erstaunlich vielen Rechnern. Sein Updater holte Dateien über unverschlüsseltes HTTP und führte aus, was zurückkam, ohne eine Signatur zu prüfen, unter Windows als SYSTEM und auf dem Mac als root. In sechs Monaten zählte Eye mehr als 3,8 Millionen Hardware-IDs, nach eigener Schätzung 2,5 bis 3 Millionen Windows-PCs und bis zu 350.000 Macs. Überwiegend Privatanschlüsse, aber auch Firmen-, Behörden- und Militärnetze.

Was sie damit gemacht haben, ist der erzählenswerte Teil. Zwischen November 2025 und März 2026 nutzten sie die Lücke, um sie zu schließen, und verteilten mehr als zwei Millionen Updates, deren einzige Aufgabe es war, den Updater anzuhalten und abzuschalten. Nichts wurde gelöscht, keine Telemetrie gesammelt. Die Anfragen fielen binnen Wochen um 90 Prozent und bis zum 1. März um 98 Prozent, und die fünfzehn Domains gehören inzwischen der Shadowserver Foundation. Die Lücke trägt die Nummer CVE-2026-30612, veröffentlicht wurde die Untersuchung am 22. Oktober.

Falls bei Ihnen zu Hause noch irgendeine Popcorn-Time-Version installiert ist, deinstallieren Sie sie, statt sie liegen zu lassen. Der Updater ist erledigt, die Anwendung nicht. Sie bringt eine Chrome-Kopie von 2014 mit abgeschalteter Sandbox mit und holt alles über unverschlüsselte Verbindungen. Android-Kopien ließen sich aus der Ferne gar nicht reparieren. Der Sicherheitscheck von Tendvane ist genau dafür gemacht: alte Software, die Sie längst vergessen haben und die im Hintergrund weiterläuft.