חוקרי Eye Security הולנדית גילו שמעדכן של Time4Popcorn, עותק לא רשמי ונטוש של אפליקציית הסטרימינג Popcorn Time, פנה לכתובות אינטרנט שאיש לא רשם. מי שהיה רושם אותן יכול היה להריץ קוד על מיליוני מחשבים. החוקרים רשמו את הכתובות בעצמם ושלחו עדכון שמשבית את המעדכן.
הפרטים
בזמן ציד איומים זיהתה החברה את Updater.exe ב-Windows וקובץ PT.updd ב-Mac, שניסו להתחבר לכתובת לא רשומה. לאחר שרשמה אותה, ראתה כ-50 בקשות בשנייה. לפי הדיווח, המעדכן בדק עדכונים בחיבור לא מוצפן והתקין כל מה שקיבל, בהרשאות SYSTEM או root, בלי לאמת את השולח. ההערכה היא כ-2.5 עד 3 מיליון מחשבי Windows וכ-250 עד 350 אלף מחשבי Mac. הפגיעות נרשמה כ-CVE-2026-30612, ו-CISA מדרגת אותה ב-9.8.
העדכון של Eye רק עוצר ומשבית את המעדכן, בלי למחוק קבצים או לאסוף מידע. החברה דיווחה על למעלה משני מיליון הורדות עדכון, ועל ירידה של כ-98% בתעבורה עד מרץ 2026. לדבריה לא נמצאה ראיה שגורם אחר שירת קוד דרך הכתובות הללו, אך חלק מהדומיינים שהמעדכן פונה אליהם בבעלות גורמים חיצוניים, ולכן מחשבים שפונים אליהם עדיין חשופים.
נקודות לשים לב
- הסר את Popcorn Time / Time4Popcorn מהמחשב. השבתת המעדכן לבדה משאירה את שאר הסיכונים באפליקציה, כולל מנוע דפדפן ישן וטעינת תוכן לא מוצפן.
- הגרסאות המושפעות לפי הדיווח: Windows עד 6.2.1.18, Mac עד 6.2.1.17, Android עד 3.5.0.173. ב-Android אי אפשר להשבית את המעדכן בנפרד, ולכן ההסרה היא הפתרון.
- צוותי אבטחה יכולים לחפש ברשת את שני קובצי המעדכן ותעבורה לדומיינים שפורסמו במחקר של Eye.
- הלקח הרחב: תוכנה נטושה שמעדכנת את עצמה מכתובת שפג תוקפה היא וקטור השתלטנות מוכן. כדאי לאתר תוכנות כאלה בצי המחשבים.
מקורות: Eye Security · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
