Trzy miliony pecetów dzieliła od botnetu jedna rejestracja domeny

Zacznijmy od szczegółu, który wszystko zdradził. Na laptopie u jednego z klientów Eye Security wciąż działał program o nazwie Updater.exe, a Updater.exe wciąż próbował połączyć się z adresem internetowym, który nie należał już do nikogo. Wygasłe domeny są tanie. Kto zarejestruje je jako następny, decyduje, co z nich odpowie.

Zarejestrowali więc popcorntimeupd.xyz i patrzyli, co przychodzi: około 50 zgłoszeń na sekundę z całego świata. Pytającym programem był Time4Popcorn, odgałęzienie starego klienta filmowego Popcorn Time, porzucone lata temu i wciąż obecne na ogromnej liczbie komputerów. Jego aktualizator pobierał pliki przez nieszyfrowane HTTP i uruchamiał wszystko, co wróciło, bez sprawdzania podpisu, jako SYSTEM w Windowsie i root na Macu. Przez pół roku Eye naliczyło ponad 3,8 miliona identyfikatorów sprzętowych, co szacuje na 2,5 do 3 milionów pecetów z Windowsem i do 350 000 Maców. Głównie łącza domowe, ale też sieci firmowe, rządowe i wojskowe.

To, co z tym zrobili, jest częścią wartą opowiedzenia. Od listopada 2025 do marca 2026 wykorzystali dziurę, żeby ją zamknąć, rozsyłając ponad dwa miliony aktualizacji, których jedynym zadaniem było zatrzymanie i wyłączenie aktualizatora. Niczego nie usunięto, nie zebrano żadnej telemetrii. Zgłoszenia spadły o 90 procent w ciągu kilku tygodni i o 98 procent do 1 marca, a piętnaście domen należy dziś do Shadowserver Foundation. Luka ma numer CVE-2026-30612, a opracowanie ukazało się 22 października.

Jeśli jakakolwiek wersja Popcorn Time nadal siedzi na komputerze w waszym domu, odinstalujcie ją, zamiast zostawiać. Aktualizator jest załatwiony, aplikacja nie. Zawiera kopię Chrome z 2014 roku z wyłączoną piaskownicą i wszystko pobiera po nieszyfrowanych połączeniach. Kopii na Androida nie dało się naprawić zdalnie w ogóle. Kontrola bezpieczeństwa w Tendvane jest zrobiona dokładnie pod to: stare oprogramowanie, o którym zapomnieliście, wciąż działające w tle.