Исследователи из нидерландской компании Eye Security обнаружили уязвимость в механизме автообновления заброшенного форка Popcorn Time под названием Time4Popcorn и использовали её, чтобы удалённо отключить приложение более чем на 2 млн компьютеров. Форк давно не поддерживается, но продолжал работать на устройствах пользователей.

Механизм обновления в Time4Popcorn обращался к серверу, который разработчики уже не контролировали. Это означало, что любой, кто получил бы доступ к домену или смог подменить ответ сервера, мог доставлять на миллионы машин произвольный код.

Специалисты Eye Security решили опередить потенциальных злоумышленников и воспользовались этой же уязвимостью, но в защитных целях. Они отправили команду, которая деактивировала приложение на затронутых системах, не причинив вреда самим устройствам.

По оценке исследователей, если бы уязвимость попала в руки атакующих, из этих компьютеров можно было бы собрать крупный ботнет. Масштаб в 2 млн устройств сделал бы такую сеть заметной силой для DDoS-атак или распространения вредоносного ПО.

Пользователям, у которых Time4Popcorn всё ещё установлен, рекомендуется удалить приложение вручную и проверить систему на наличие постороннего ПО. Сама компания Eye Security подчёркивает, что заброшенные программы с автоматическими обновлениями остаются недооценённым риском.