Popcorn Time, rischio nascosto: controlla se devi rimuoverlo

Non apri Popcorn Time da anni? Una sua vecchia variante potrebbe essere ancora attiva sul computer. Si tratta di Time4Popcorn, il cui sistema di aggiornamento può scaricare ed eseguire file con privilegi elevati, senza verificarne la firma digitale.

Eye Research ha sfruttato questo stesso meccanismo per disattivare l’updater su oltre un milione di sistemi. Ma l’app conserva altre vulnerabilità: per questo i ricercatori consigliano di disinstallarla completamente, anche se non viene più utilizzata.

Quale Popcorn Time è a rischio

L’indagine riguarda Time4Popcorn, un fork non ufficiale nato dopo la chiusura del progetto originale nel 2014. Veniva distribuito anche con il semplice nome Popcorn Time, quindi riconoscere la versione installata non è sempre facile.

Non è coinvolto il nuovo progetto che dal 2025 usa il nome Popcorn Time per sviluppare un’alternativa legale.

Il problema delle vecchie installazioni è che, su Windows e macOS, l’updater può avviarsi automaticamente e continuare a funzionare senza aprire l’app.

La scoperta: 50 richieste al secondo a un dominio abbandonato

Durante un controllo sul portatile di un cliente, Eye Research ha individuato Updater.exe mentre cercava di contattare popcorntimeupd.xyz, un dominio non più registrato. Altri indirizzi interrogati erano segnalati come malevoli su VirusTotal.

I clienti interessati avevano installato il programma anni prima e non lo utilizzavano più. Registrando il dominio, i ricercatori hanno però ricevuto circa 50 richieste al secondo, contenenti un identificativo del dispositivo, il parametro hid, e informazioni sul sistema operativo.

In sei mesi sono comparsi oltre 3,8 milioni di identificativi: circa metà Windows, il 45% macOS e meno del 5% Android. Gli ID, tuttavia, non distinguevano correttamente i dispositivi: computer Windows diversi potevano condividere lo stesso valore, mentre un Mac poteva generarne diversi.

Le stime successive indicano 2,5-3 milioni di PC Windows e 250.000-350.000 Mac, contro gli iniziali 1,7 milioni di ID macOS. Sono stime dei sistemi che hanno contattato i server, non conteggi di computer compromessi.

Aggiornamenti senza controlli, eseguiti con privilegi massimi

Analizzando il componente Windows, scritto in C++ con Boost 1.55 del 2013, Eye Research ha ricostruito il funzionamento: l’updater riceveva una risposta JSON con il collegamento a un eseguibile, lo scaricava tramite HTTP non cifrato e lo avviava come NT AUTHORITY\SYSTEM, senza verificarne la firma digitale.

Su macOS, pur con un formato JSON diverso e stringhe offuscate, il risultato era analogo: esecuzione come root attraverso il daemon PT.updd, avviato all’accensione.

Chi controllava uno dei domini poteva quindi distribuire codice con privilegi elevati.

Inoltre, le connessioni HTTP esponevano gli aggiornamenti alla manipolazione del traffico, anche su reti Wi-Fi non cifrate. Eye Research ha ricordato precedenti casi di meccanismi simili sfruttati da governi per installare spyware.

Su Android, invece, il controllo avveniva soltanto aprendo l’app e l’installazione dell’APK richiedeva il consenso dell’utente.

La falla, identificata come CVE-2026-30612, è stata descritta in un bollettino di giugno 2026. Avrebbe potuto favorire botnet, ransomware e furti di password, con possibili conseguenze anche sulle reti aziendali.

Tra le connessioni osservate comparivano infatti reti domestiche, aziendali, governative e militari. Non sono emerse prove di sfruttamento da parte di criminali.

Operation IXIM: l’updater usato per spegnere se stesso

Il software era abbandonato, il sito inattivo da anni e non c’era un produttore da cui attendere una patch. Acquistare tutti i domini sarebbe stato costoso — alcuni erano in vendita per migliaia di dollari — e non avrebbe risolto il problema delle comunicazioni HTTP.

Dopo un confronto con i legali, Eye Research ha avviato Operation IXIM, distribuendo un aggiornamento che fermava e disabilitava l’updater. Come precedente ha citato Operation Ladybird, con cui la polizia olandese aveva neutralizzato le infezioni Emotet. Qui gli utenti avevano installato volontariamente l’app, ma non scelto di mantenere per anni un componente così esposto.

Che cosa modificava l’intervento

Non raccoglieva telemetria, non cancellava file e lasciava installata l’app. Su Windows arrestava e disabilitava il servizio tramite il Service Control Manager, con un effetto equivalente a:

sc.exe stop "Update service"

sc.exe config "Update service" start= disabled

Su macOS eseguiva invece:

launchctl unload -w /Library/LaunchDaemons/PT.updd.plist

Dopo test approfonditi e una prova limitata, l’aggiornamento è stato inizialmente offerto una sola volta agli ID già osservati, con reindirizzamento a HTTPS dove possibile. Le restrizioni, pensate anche per ostacolare la replica del meccanismo, sono state successivamente allentate per raggiungere più sistemi.

Oltre due milioni di download: perché non basta

L’operazione si è svolta tra novembre 2025 e marzo 2026 ed è stata presentata il 22 ottobre 2026 a hack.lu, in Lussemburgo.

A dicembre 2025 l’aggiornamento aveva raggiunto, secondo Eye Research, oltre un milione di sistemi. I download complessivi hanno superato i due milioni, senza equivalere ad altrettanti dispositivi distinti o interventi riusciti.

Inizialmente 11 fornitori di sicurezza classificavano l’eseguibile Windows come malevolo perché disabilitava un servizio; il codice è stato modificato per ridurre i rilevamenti. Al 1° marzo venivano ancora consegnati circa 5.000 aggiornamenti al giorno, il 98% in meno rispetto ai volumi iniziali.

A fine marzo i 15 domini controllati dai ricercatori sono passati alla Shadowserver Foundation, ma alcuni indirizzi sono rimasti nelle mani di terzi. Nessun aggiornamento è stato distribuito su Android, dove il componente è integrato nell’app e non può essere disattivato separatamente.

Perché disinstallare Time4Popcorn resta la scelta consigliata

Fermare l’updater non rende sicura l’app. Time4Popcorn usa un motore browser del 2014 con la sandbox disattivata e carica JavaScript tramite HTTP, anche da domini abbandonati.

Eye Research ha dimostrato l’esecuzione di programmi tramite JavaScript malevolo su Windows; lo stesso attacco non è stato dimostrato su macOS.

La raccomandazione resta quindi disinstallare completamente Time4Popcorn. Su Mac, il file associato all’avvio automatico dell’updater è /Library/LaunchDaemons/PT.updd.plist.

Non usarlo più, da solo, non basta: l’app può restare chiusa mentre il componente vulnerabile continua a lavorare in background.

Concludo ricordando che ad oggi esistono molte alternative migliori di Popcorn Time per film e serie tv e, tra tutte, quella che mi sento di consigliare è sicuramente CineSearch. Se non la usi ancora, provala: non ne farai più a meno!