Millionen Computer waren der Ausführung von Schadcode aus der Ferne ausgesetzt, weil der Hintergrund-Updater einer aufgegebenen Streaming-App noch Jahre weiterlief, nachdem die Nutzer sie nicht mehr verwendeten.
In einer am 22. Okt. veröffentlichten Untersuchung schilderte das niederländische Cybersicherheitsunternehmen Eye Security sein Vorgehen gegen den anfälligen Updater von Time4Popcorn, einem unter dem Namen Popcorn Time verbreiteten Derivat. Die Untersuchung gilt nicht für das separate legale Projekt, das diesen Namen seit 2025 verwendet.
In ihrem Bericht erklärt die Firma, dass der auf Millionen Geräten vorhandene Updater weiterhin Anfragen an eine Infrastruktur stellte, die nicht mehr ordnungsgemäß gewartet wurde. Der Updater nutzte unverschlüsselten Datenverkehr und überprüfte nicht die Authentizität heruntergeladener ausführbarer Dateien. Dadurch konnten Angreifer potenziell über das, was Nutzer für routinemäßige Softwarewartung gehalten haben könnten, Schadcode einschleusen.
Die als CVE-2026-30612 identifizierte Schwachstelle hat lautThe Hacker News einen gemeldeten CVSS-Wert von 9,8 von 10.
Eye Security nutzte den Aktualisierungsmechanismus, um den Updater auf antwortenden Windows- und macOS-Computern zu deaktivieren. Dadurch wurde die Gefährdung reduziert, das Risiko jedoch nicht auf allen Installationen beseitigt. Android-Nutzer sollten die App deinstallieren, da ihr Updater in die Anwendung eingebettet ist und nicht separat deaktiviert werden kann.
Was tatsächlich passiert ist
Time4Popcorn, eine aufgegebene Torrent-App, mit der einst raubkopierte Filme und Fernsehsendungen gestreamt wurden, war bereits Jahre zuvor eingestellt worden. Der Hintergrund-Updater versuchte jedoch weiterhin, seine frühere Update-Domain zu kontaktieren. Obwohl die Domain abgelaufen war, sendeten Computer mit installiertem Updater weiterhin regelmäßig Anfragen an sie.
Eye Security stieß bei einer routinemäßigen Bedrohungssuche auf die Aktivität, nachdem das Unternehmen bemerkt hatte, dass der Laptop eines Kunden wiederholt versucht hatte, eine nicht registrierte Domain zu erreichen. Als die Sicherheitsforscher die Domain zur Untersuchung registrierten, beobachteten sie etwa 50 Anfragen pro Sekunde.
Um das Ausmaß der Gefährdung zu verstehen, überwachte die Firma sechs Monate lang die eingehenden Anfragen und erfasste mehr als 3,8 Millionen unterschiedliche Hardwarekennungen. Diese Kennungen stellten jedoch nicht zuverlässig einzelne Computer dar.
Das Cybersicherheitsunternehmen korrigierte seine Schätzung auf 2,5 bis 3 Millionen Windows-Computer und 250.000 bis 350.000 Macs, die potenziell von dem anfälligen Updater betroffen waren.
Das Problem beschränkte sich nicht auf die Zahl der Geräte und das Anfragevolumen. Es betraf auch die Arten von Geräten, die versuchten, den Dienst zu erreichen. Nach Angaben der Sicherheitsforscher stammten die Verbindungen aus privaten, Unternehmens-, Behörden- und Militärnetzwerken, wobei ihr bloßes Vorhandensein nicht bestätigt, dass diese Organisationen kompromittiert worden waren.
Die Gefahr lag in den Möglichkeiten des Updaters, nicht einfach in der Anzahl der Anfragen. Er kommunizierte über unverschlüsselten Datenverkehr und akzeptierte heruntergeladene ausführbare Dateien, ohne deren Authentizität zu überprüfen, während er mit SYSTEM-Berechtigungen unter Windows und Root-Rechten unter macOS lief.
Wenn ein Angreifer die Kontrolle über die Update-Domain erlangt hätte, hätte er beliebige Nutzdaten einschleusen können. Mit den weitreichenden Systemberechtigungen hätten diese je nach Konfiguration Ransomware einsetzen, Zugangsdaten stehlen oder Code aus der Ferne ausführen können.
Das Deaktivieren des Updaters beseitigte nicht jedes Risiko
Zwischen November 2025 und März 2026 nutzte Eye Security den anfälligen Aktualisierungsmechanismus, um Code auszuliefern, der den Updater unter Windows und macOS stoppte und deaktivierte. Die Aktion führte zu mehr als zwei Millionen Update-Downloads; der tägliche Update-Datenverkehr sank um etwa 98 %.
Ende März übertrug das Unternehmen seine 15 Domains zur Sinkhole-Umleitung an die Shadowserver Foundation. Andere Domains blieben im Besitz Dritter, und Eye spielte keine Updates auf Android-Geräte aus.
Selbst unter Windows und macOS behob das Abschalten des Updaters nicht die übrigen Schwachstellen von Time4Popcorn. Die Aktion beseitigte daher einen wichtigen Angriffsweg, machte die aufgegebene Anwendung aber nicht sicher.
Was Sicherheitsteams über die App hinaus prüfen sollten
Die unmittelbare Empfehlung lautet, die betroffene Time4Popcorn-Software zu entfernen. Die Sicherheitsmitteilung von Eye Security enthält Anweisungen zum Deaktivieren des Desktop-Updaters, empfiehlt jedoch, die Anwendung vollständig zu entfernen. Das Deaktivieren einer einzelnen Komponente beseitigt die übrigen Schwachstellen der aufgegebenen App nicht.
Für Administratoren bedeutet das, mehr zu prüfen als nur, ob Mitarbeiter die App noch verwenden. Überprüfen Sie Softwareinventare und Endpoint-Telemetrie auf Installationen und suchen Sie anschließend nach dem Windows-Updater-Dienst oder dem in der Sicherheitsmitteilung genannten macOS-Hilfsprogramm. Unter Android sollte die Anwendung entfernt werden, statt zu versuchen, einen separaten Updater zu deaktivieren.
Überprüfen Sie nach der Entfernung, dass die zugehörigen Hintergrundkomponenten beim Start des Geräts nicht mehr ausgeführt oder neu gestartet werden. Prüfen Sie verfügbare DNS-, Proxy- und Endpoint-Datensätze auf unerwartete Update-Downloads oder das Starten ausführbarer Dateien. Wird die Anwendung oder der zugehörige Netzwerkverkehr gefunden, sollte geprüft werden, ob der anfällige Updater noch aktiv ist; allein diese Befunde belegen nicht, dass ein Gerät kompromittiert wurde.
Die umfassendere Lehre besteht darin, ungenutzte Anwendungen, Browser-Erweiterungen, sowie Hintergrunddienstprogramme in routinemäßige Softwareprüfungen einzubeziehen. Prüfen Sie, ob sie noch Sicherheitsupdates erhalten, über welche Berechtigungen sie verfügen und ob ihre Aktualisierungsmechanismen weiterhin vertrauenswürdig sind.
Das Aktualisieren unterstützter Software bleibt unverzichtbar, doch aufgegebene Anwendungen erfordern eine Entscheidung über ihre Ausmusterung. Sicherheitsteams sollten ihre Entfernung dokumentieren und das Ergebnis überprüfen, statt fehlende Benutzeraktivität als Beleg dafür zu werten, dass die Software kein Risiko mehr darstellt.
Mehr dazu: Vergessene Infrastruktur kann Menschen auch beim gewöhnlichen Surfen gefährden, wie Sicherheitsforscher herausfanden, als abgelaufene Website-Domains zum Auslieferungsweg für iPhone-Spähsoftware wurden.