Три мільйони ПК відділяла від ботнету одна реєстрація домену

Почнімо з деталі, яка все й видала. На ноутбуці в одного з клієнтів Eye Security раз у раз запускалася програма Updater.exe, і Updater.exe раз у раз намагався дістатися вебадреси, якою більше ніхто не володів. Протерміновані домени коштують копійки. Той, хто зареєструє такий наступним, вирішує, що з нього відповість.

Тож вони зареєстрували popcorntimeupd.xyz і подивилися, що надходить: близько 50 звернень на секунду з усього світу. Питала програма Time4Popcorn, відгалуження старого кіноклієнта Popcorn Time, покинуте багато років тому і досі наявне на величезній кількості машин. Його оновлювач завантажував файли незашифрованим HTTP і запускав усе, що приходило у відповідь, не перевіряючи підпис, від імені SYSTEM у Windows і root на Mac. За півроку Eye нарахувала понад 3,8 мільйона апаратних ідентифікаторів, що за її оцінкою дорівнює 2,5-3 мільйонам ПК з Windows і до 350 000 Mac. Переважно домашні підключення, але також корпоративні, урядові та військові мережі.

Те, що вони з цим зробили, і є частиною, яку варто розповісти. Між листопадом 2025 і березнем 2026 вони скористалися дірою, щоб її закрити, розіславши понад два мільйони оновлень, єдиним завданням яких було зупинити й вимкнути оновлювач. Нічого не видалено, жодної телеметрії не зібрано. Звернення впали на 90 відсотків за кілька тижнів і на 98 відсотків до 1 березня, а п'ятнадцять доменів тепер належать Shadowserver Foundation. Вада має номер CVE-2026-30612, дослідження опубліковано 22 жовтня.

Якщо будь-яка збірка Popcorn Time досі стоїть на комп'ютері у вас удома, видаліть її, а не лишайте. Оновлювач знешкоджено, застосунок ні. Він несе з собою копію Chrome 2014 року з вимкненою пісочницею і тягне все незашифрованими з'єднаннями. Копії для Android виправити віддалено не вдалося взагалі. Перевірка безпеки в Tendvane зроблена саме для такого: старе програмне забезпечення, про яке ви забули, а воно й далі працює у фоні.