Entre novembro de 2025 e março de 2026, a empresa holandesa de segurança Eye Security enviou mais de 2 milhões de atualizações a computadores que não lhe pertenciam, com o objetivo de desligar um atualizador em segundo plano que, segundo a empresa, poderia permitir que um invasor assumisse o controle da máquina.
O atualizador pertence ao Time4Popcorn, uma cópia abandonada do Popcorn Time, aplicativo gratuito que transmitia filmes e séries pirateados pelo protocolo BitTorrent.
O Popcorn Time fez sucesso há cerca de uma década, e o original foi desativado em 2014, mas várias cópias continuaram funcionando com o mesmo nome. Um projeto legal separado, que adotou o nome Popcorn Time no início de 2025, não tem relação com elas.
A Eye Security, que monitora redes de clientes em busca de ameaças, encontrou o atualizador durante uma caça de ameaças de rotina: um programa chamado Updater.exe no notebook de um cliente tentava acessar um endereço da web que não estava mais registrado.
A empresa registrou o próprio endereço para ver o que se conectaria a ele, e cerca de 50 requisições por segundo passaram a chegar. Depois, detalhou a operação, batizada de Operation IXIM, em um relatório técnico e em uma palestra na conferência Hack.lu, realizada em 22 de outubro.
Ao longo de seis meses, essas requisições carregaram mais de 3,8 milhões de IDs de hardware diferentes. Os IDs se mostraram uma forma pouco confiável de contar máquinas, pois alguns PCs com Windows compartilhavam o mesmo ID e alguns Macs trocavam o seu. Por isso, a Eye revisou sua estimativa para 2,5 a 3 milhões de computadores com Windows e 250 mil a 350 mil Macs.
O atualizador rodava em segundo plano no Windows e no Mac desde o momento em que o computador era ligado. Ele verificava novas versões por meio de uma conexão não criptografada e instalava o que recebesse com o mais alto nível de privilégio, chamado SYSTEM no Windows e root no Mac, sem checar quem havia enviado o arquivo.
Como os endereços da web que ele acessava haviam sido abandonados, segundo a Eye, qualquer pessoa que registrasse o endereço correto poderia distribuir o próprio programa a todas as máquinas que ainda o consultassem.
Com esse acesso, um invasor poderia instalar ransomware (programa de sequestro de dados), roubar senhas salvas ou transformar o computador em parte de uma botnet (rede de computadores controlados remotamente), afirmou a Eye. Ao mapear uma amostra dos endereços que se conectavam, a empresa disse ter identificado usuários domésticos em todo o mundo, além de máquinas em redes governamentais, militares e corporativas, embora tenha ressalvado que é “difícil tirar conclusões” a partir disso.
A Eye havia divulgado a falha, hoje catalogada como CVE-2026-30612 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), em junho. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) atribui a ela nota 9,8 em uma escala de 10. A falha afeta três versões do software Time4Popcorn:
- Windows, até e incluindo a versão 6.2.1.18
- Mac, até e incluindo a versão 6.2.1.17
- Android, até e incluindo a versão 3.5.0.173
Transformando o atualizador contra si mesmo
Sem uma empresa responsável pelo software e sem correção prevista, a Eye decidiu usar o atualizador contra ele mesmo. Após consultar assessoria jurídica, enviou às máquinas uma atualização que faz apenas uma coisa: para e desativa o atualizador, sem apagar arquivos e sem coletar qualquer dado.
A Eye comparou a ação à Operação Ladybird, de 2021, quando a polícia holandesa enviou uma atualização a computadores infectados pela botnet Emotet para desativar o malware neles.
A diferença, segundo a empresa, é que as vítimas da Emotet nunca escolheram ser infectadas, enquanto os usuários do Popcorn Time instalaram o aplicativo por conta própria. Ainda assim, afirmou a empresa, “nenhum deles escolheu ter um atualizador esquecido rodando em segundo plano por anos”.
Pouco depois do início das atualizações, alguém enviou a atualização da Eye ao VirusTotal, e mecanismos antivírus passaram a marcá-la como malware, o que é uma descrição adequada de um programa que desativa um serviço do Windows. Como todos os produtos que bloqueavam a atualização deixavam o atualizador vulnerável em funcionamento, a Eye a reformulou até que apenas um detector continuasse a marcá-la.
Em dezembro de 2025, a Eye já havia atualizado mais de 1 milhão de sistemas e reduzido em cerca de 90% o tráfego para seus endereços da web. Em 1º de março, enviava cerca de 5.000 atualizações por dia, uma redução de 98%. Considerando os números restantes pequenos demais para interessar a um operador de botnet, a Eye interrompeu o envio, após ter distribuído mais de 2 milhões de downloads de atualização no total.
No fim de março, a Eye entregou os 15 endereços da web que controlava à Shadowserver Foundation, organização sem fins lucrativos que retira domínios abandonados e maliciosos de circulação, para que uma parte confiável os mantivesse em vez da própria Eye.
Os registros públicos de um deles, popcorntimeupd[.]xyz, agora apontam para os servidores sinkhole da Shadowserver (servidores que recebem e neutralizam conexões indevidas), com transferência datada de 20 de março de 2026. Outros endereços que o atualizador acessa nunca foram da Eye e continuam com proprietários externos, segundo a empresa, de modo que as máquinas que se conectarem a eles seguem expostas.
A Eye não encontrou indícios de que outra pessoa estivesse distribuindo código por meio desses endereços: os já registrados por terceiros estavam estacionados ou à venda, sem enviar atualizações às máquinas que os acessavam. A falha não consta no catálogo de vulnerabilidades conhecidas e exploradas da CISA até 23 de outubro de 2026.
O que os usuários do Popcorn Time devem fazer
Desativar o atualizador não torna o aplicativo seguro. Segundo a Eye, o Popcorn Time roda sobre um mecanismo de navegador de 2014, com o ambiente isolado de segurança (sandbox) desativado, carrega conteúdos por conexões não criptografadas e puxa código de outros endereços da web abandonados.
A Eye também registrou esses endereços abandonados, o que, segundo ela, permitiria executar o próprio código em todas as máquinas que abrissem o aplicativo. Ela não o fez, mas construiu uma prova de conceito funcional, portanto o risco é real. A atualização alterou apenas o atualizador, e o restante do aplicativo continua perigoso para quem seguir usando o Popcorn Time.
A recomendação da Eye é desinstalar o Popcorn Time. O atualizador também pode ser desligado manualmente: no Windows, com dois comandos que param e desativam o “Update service”; no Mac, com um que descarrega o auxiliar PT.updd. Remover o aplicativo é a medida mais segura, porque desativar o atualizador deixa o restante do programa no lugar.
- Windows: sc.exe stop "Update service"
- Windows: sc.exe config "Update service" start= disabled
- Mac: launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
No Android, o atualizador está integrado ao aplicativo e não pode ser desligado separadamente. Ele só é instalado se o usuário tocar para aceitar, por isso a Eye não enviou atualizações a dispositivos Android. Remover o aplicativo é a única solução nesse caso.
Para verificar uma rede, quem faz a defesa pode procurar pelos dois arquivos do atualizador, Updater.exe no Windows e PT.updd no Mac, e pelo tráfego para os endereços da web listados no relatório da Eye, que traz todos os 20 domínios e os hashes dos arquivos.
