研究人員推送超過200萬次更新，遠端停用 Popcorn Time 更新器，防止其成為 Botnet 燃料
Researchers Push Over 2 Million Updates to Remotely Disable Popcorn Time Updater That Could Fuel a Botnet
Eye Security 在 2025 年至 2026 年期間，透過超過 200 萬次遠端更新，停用了 Time4Popcorn 的背景更新器，避免其被惡意利用成為 Botnet 的入口。
Eye Security 透過大規模更新阻斷 Popcorn Time 更新器，顯示即時修補可擴大至數百萬臺機器，提醒企業重視被動更新風險。
In 2025 年 11 月至 2026 年 3 月之間，荷蘭安全公司 Eye Security 推送了超過 2 million 次更新到它不擁有的電腦，以關閉一個背景更新程式，該程式可能允許外部人士接管該機器。
該更新程式屬於 Time4Popcorn，它是 Popcorn Time 的一個被廢棄的複製品，Popcorn Time 是一個免費應用程式，可透過 BitTorrent 直播盜版電影和電視節目。
Popcorn Time 在大約十年前很受歡迎，原始版本於 2014 年停運，但仍有幾個副本以同一名稱持續執行。另一個在 2025 年初採用 Popcorn Time 名稱的合法專案與其無關。
Eye Security，負責監控客戶網路以偵測威脅，於一次例行威脅偵測中發現該更新程式：一個名為 Updater.exe 的程式在某客戶的筆記型電腦上持續嘗試連線一個已不再註冊的網域。
該公司自行註冊該地址以觀察連線者，結果每秒約有 50 次請求湧入。後來，它在一份 寫作 以及 10 月 22 日於 Hack.lu 的 演講於 Hack.lu 中闡述了此作業，並將其命名為 Operation IXIM。
在六個月內，這些請求攜帶了超過 3.8 million 個不同的硬體 ID。這些 ID 被證明是計算機數量的不可靠指標，因為部分 Windows PC 共用同一個 ID，而部分 Mac 改變了自己的 ID，於是 Eye 將估計值調整為 2.5 至 3 million 臺 Windows 電腦以及 250,000 至 350,000 臺 Mac。
該更新程式在 Windows 與 Mac 上自電腦開機起即在背景執行。它以未加密的連線檢查新版本，並以最高許可權（Windows 為 SYSTEM、Mac 為 root）安裝任何收到的檔案，且不會驗證傳送者。
由於它所呼叫的網域已被放棄，Eye 表示，任何註冊正確網域的人都能將自己的程式送達仍在呼叫它的每臺機器。
Eye 表示，在擁有該存取權的機器上，攻擊者可安裝勒索軟體、竊取儲存的密碼，或將電腦拉進機器人網路。公司對連線地址進行抽樣對映後，發現全球各地的家庭使用者，以及政府、軍事和企業網路中的機器，但亦補充說 "hard to draw conclusions" 從中得出結論。
Eye 在六月曾 披露此缺陷，現已被追蹤為 CVE-2026-30612。美國網路與基礎建設安全域性將其評為 9.8 / 10。它影響 Time4Popcorn 軟體的三個版本：
- Windows，至 6.2.1.18 版（含）
- Mac，至 6.2.1.17 版（含）
- Android，至 3.5.0.173 版（含）
將更新程式反向使用
由於沒有公司可以修復此軟體，也沒有即將推出的修補程式，Eye 決定將更新程式反向使用。經過法律諮詢後，它向機器提供了一個只做一件事的更新：停止並停用更新程式，不刪除任何檔案，也不收集任何資料。
Eye 將此步驟比作 2021 年的 Operation Ladybird，當時荷蘭警方向感染 Emotet botnet 的電腦推送更新，將惡意程式停用。
Eye 表示，兩者的差異在於 Emotet 的受害者從未選擇被感染，而 Popcorn Time 的使用者則自行安裝該應用程式。儘管如此，該公司說：「none of them chose to have a forgotten updater running in the background for years …」
更新開始後不久，有人將 Eye 的更新上傳至 VirusTotal，並且防毒引擎開始將其標記為惡意軟體，這是一個合理的描述，因為該程式會停用 Windows 服務。由於每一個阻擋它的產品都讓易受攻擊的更新程式繼續執行，Eye 重新設計了更新，直到只有一個掃描器仍然將其標記。
截至 2025 年 12 月，Eye 已更新超過 100 萬臺系統，並將對其網域的流量削減約 90%。到 3 月 1 日，它每天僅傳送約 5,000 次更新，減少了 98%。Eye 判斷剩餘數量對機器人網路運營者來說太小，於是停止，總共已傳送超過 200 萬次更新下載。
3 月底，Eye 將其控制的 15 個網域交給了Shadowserver Foundation，這是一個非營利組織，負責將被遺棄和惡意域名從網路上移除，讓可信任的機構代為持有，而不是由 Eye 保管。
其中一個域名 popcorntimeupd[.]xyz 的公開註冊記錄現在指向 Shadowserver 的陷阱伺服器，轉移日期為 2026 年 3 月 20 日。Eye 表示其他更新程式呼叫的地址並非 Eye 所持有，仍由外部擁有者保管，因此仍有機器會連線至這些域名，仍處於風險中。
Eye 沒有發現任何其他人透過這些域名提供程式碼：已被他人註冊的域名要麼停放，要麼待售，並未向呼叫它們的機器推送更新。這個漏洞截至 2026 年 10 月 23 日未列入 CISA 已知被利用漏洞目錄。
Popcorn Time 使用者應該採取的措施
關閉更新程式並不能使應用程式安全。Eye 表示 Popcorn Time 使用 2014 年的瀏覽器引擎，且安全沙盒已關閉，透過未加密的連線載入內容，並從其他被遺棄的網域拉取程式碼。
Eye 也註冊了那些被遺棄的域名，這樣它就能在每臺開啟應用程式的機器上執行自己的程式碼。雖然它沒有這樣做，但已經構建了可運作的概念驗證，證明風險確實存在。更新僅改變了更新程式，其餘部分仍對持續使用 Popcorn Time 的使用者構成危險。
Eye 的建議是解除安裝 Popcorn Time。更新程式也可手動停用：在 Windows 上使用兩條指令停止並停用其「Update service」；在 Mac 上則使用一條指令解除安裝 PT.updd 助手。移除應用程式是更安全的做法，因為停用更新程式仍保留其餘功能。
- Windows：sc.exe stop "Update service"
- Windows：sc.exe config "Update service" start= disabled
- Mac：launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
在 Android 上，更新程式已內建於應用程式，無法自行停用，且僅在使用者點選接受時才安裝，因此 Eye 未向 Android 裝置傳送更新。移除應用程式是此處唯一的解決方案。
為檢查網路，防禦者可以尋找兩個更新程式檔案：Windows 上的 Updater.exe 與 Mac 上的 PT.updd，並觀察對 Eye 所列 20 個域名及檔案雜湊的流量。
覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 上追蹤我們，以閱讀更多我們發布的獨家內容。