Eye Security a exploité une faille d'un clone de Popcorn Time pour la neutraliser sur des millions de machines

Tout commence par une chasse aux menaces chez un client d'Eye Security. Sur un ordinateur portable, un processus nommé Updater.exe tente de joindre popcorntimeupd.xyz, un domaine qui n'existe plus. Les chercheurs l'enregistrent pour voir qui frappe à la porte. Ils reçoivent environ 50 requêtes par seconde.

Ces requêtes venaient de Time4Popcorn, une variante à code fermé de Popcorn Time, le logiciel de streaming par BitTorrent. Son système de mise à jour récupérait les nouvelles versions en HTTP non chiffré et ne vérifiait aucune signature. Il exécutait ensuite le fichier reçu avec les droits SYSTEM sous Windows et root sous macOS. Quiconque contrôlait l'un de ses domaines expirés pouvait donc installer ce qu'il voulait sur ces machines. La faille porte le numéro CVE-2026-30612. Eye Security a publié le récit complet de l'opération le 22 octobre, sous le nom d'Operation IXIM.

Des millions d'ordinateurs à la merci du premier venu

En six mois, Eye a compté plus de 3,8 millions d'identifiants matériels distincts. La société juge elle-même ce chiffre peu fiable : les images disques clonées dupliquent les identifiants sous Windows, et ceux des Mac changent avec le nom de la machine. Elle estime finalement la population à 2,5 à 3 millions de postes Windows et 250 000 à 350 000 Mac. Les connexions venaient de particuliers, mais aussi de réseaux d'entreprises, d'administrations et d'armées. Le service de mise à jour se lançait seul au démarrage : beaucoup de ces machines restaient exposées alors que beaucoup d'utilisateurs avaient probablement oublié l'application et ne s'en servaient plus, selon les chercheurs.

Il n'y avait plus d'éditeur pour corriger. Eye dit avoir consulté son service juridique, puis a pris une décision peu banale : utiliser elle-même la faille. Entre novembre 2025 et mars 2026, ses serveurs ont envoyé plus de deux millions de « mises à jour » qui ne faisaient qu'une chose : arrêter et désactiver le service de mise à jour sous Windows, et le démon PT.updd sous macOS. Selon Eye, ce code ne collectait aucune donnée et ne supprimait aucun fichier. Le 1^er mars 2026, les requêtes avaient baissé de 98 %. Fin mars, la société a confié ses 15 domaines à la fondation Shadowserver, qui les neutralise.

Pourquoi le danger n'a pas disparu

L'intervention ne règle pas tout. Sur Android, Eye n'a rien pu faire : l'installation d'une mise à jour demande l'accord de l'utilisateur, et le service ne peut pas être désactivé seul. Certains domaines de mise à jour appartiennent encore à des tiers. Surtout, l'application embarque un moteur Chrome de 2014, sans bac à sable, qui charge du contenu en HTTP. Les chercheurs disent avoir lancé la calculatrice de Windows par simple JavaScript, dans une preuve de concept.

Que faire ?

La société recommande de désinstaller le logiciel : couper la mise à jour ne suffit pas.

• Recherchez Updater.exe dans C:\Program Files\Popcorn Time\ sur vos postes Windows, et PT.updd dans /Library/PrivilegedHelperTools/ sur vos Mac.
• Cherchez dans vos journaux DNS et proxy les domaines listés par Eye, dont time4popcorn.info et popcorntimeupd.xyz.
• Désinstallez Time4Popcorn partout, y compris sur les téléphones Android. Selon Eye, le projet Popcorn Time relancé début 2025 n'est pas concerné.

L'affaire montre qu'un mécanisme de mise à jour peut devenir une porte d'entrée, comme avec les mises à jour piégées du logiciel de sauvegarde AOMEI. Elle ouvre aussi un débat : une entreprise privée peut-elle modifier à distance des millions de machines qui ne lui appartiennent pas, même pour les protéger ? Eye invoque l'opération de la police néerlandaise contre le logiciel malveillant Emotet. Aucune autorité ne s'est encore prononcée sur son initiative.