Trois millions de PC n'étaient qu'à un enregistrement de domaine d'un botnet

Commençons par le détail qui a tout révélé. Un ordinateur portable chez un client d'Eye Security exécutait sans cesse un programme appelé Updater.exe, et Updater.exe tentait sans cesse de joindre une adresse web que plus personne ne possédait. Les domaines expirés coûtent peu de chose. Celui qui les enregistre ensuite décide de ce qu'ils répondent.

Ils l'ont donc enregistrée, popcorntimeupd.xyz, et ont observé ce qui arrivait: environ 50 connexions par seconde venues du monde entier. Le logiciel qui interrogeait était Time4Popcorn, une dérivation de l'ancien client de films Popcorn Time, abandonnée depuis des années et toujours présente sur un nombre considérable de machines. Son module de mise à jour récupérait des fichiers en HTTP non chiffré et exécutait ce qui revenait sans vérifier la moindre signature, en tant que SYSTEM sous Windows et root sous Mac. En six mois, Eye a recensé plus de 3,8 millions d'identifiants matériels, soit selon ses estimations 2,5 à 3 millions de PC Windows et jusqu'à 350 000 Mac. Surtout des connexions domestiques, mais aussi des réseaux d'entreprise, gouvernementaux et militaires.

Ce qu'ils en ont fait est la partie qui mérite d'être racontée. Entre novembre 2025 et mars 2026, ils se sont servis de la faille pour la refermer, en diffusant plus de deux millions de mises à jour dont le seul rôle était d'arrêter et de désactiver le module. Rien n'a été supprimé, aucune donnée collectée. Les connexions ont chuté de 90 pour cent en quelques semaines et de 98 pour cent au 1er mars, et les quinze domaines appartiennent désormais à la Shadowserver Foundation. La faille porte le numéro CVE-2026-30612 et l'étude a été publiée le 22 octobre.

Si une version de Popcorn Time traîne encore sur une machine chez vous, désinstallez-la plutôt que de la laisser. Le module de mise à jour est neutralisé; l'application, non. Elle embarque une copie de Chrome datant de 2014 avec le bac à sable désactivé et récupère tout par des connexions non chiffrées. Les copies Android n'ont pas pu être corrigées à distance. Le contrôle de sécurité de Tendvane est fait exactement pour cela: les vieux logiciels que vous aviez oubliés et qui tournent toujours en arrière-plan.