Popcorn Time
Popcorn Time esquecido no PC deixava instalar programas à distância em milhões de máquinas: apaga-o
Uma versão do Popcorn Time abandonada há anos continuava a pedir atualizações a domínios que já não eram de ninguém. Investigadores compraram-nos, desligaram o atualizador em mais de um milhão de computadores e agora pedem a quem ainda tem a app que a desinstale.
Se alguma vez instalaste o Popcorn Time para ver filmes e séries por torrent e nunca o apagaste, este é um bom fim de semana para o fazer. A empresa de cibersegurança Eye Security revelou a 22 de outubro que uma das versões mais espalhadas da aplicação, o Time4Popcorn, deixou durante anos milhões de computadores à mercê de quem controlasse vários domínios abandonados. Os investigadores dizem ter neutralizado a parte mais grave do problema, mas recomendam que a app seja desinstalada.
O Popcorn Time original foi encerrado em 2014 e deu origem a várias cópias que continuaram a usar o mesmo nome, por isso muita gente não sabe exatamente que versão tem. A Eye Security encontrou o problema ao investigar um processo chamado Updater.exe num portátil de um cliente, que tentava contactar um domínio que já não estava registado.
Um atualizador sem dono
O atualizador do Time4Popcorn corre em segundo plano, mesmo que nunca abras a aplicação. Pedia novas versões por HTTP, sem cifra, e corria o ficheiro que recebesse sem confirmar a assinatura digital, com permissões de sistema no Windows e de administrador (root) no macOS. A falha tem o código CVE-2026-30612.
A Eye Security registou o domínio e, em seis meses, contou mais de 3,8 milhões de identificadores de máquinas a pedir atualizações. Depois de afinar as contas, estima entre 2,5 e 3 milhões de PC com Windows e entre 250 mil e 350 mil Mac, ligados a partir de redes domésticas, de empresas e até de redes governamentais e militares. Segundo os investigadores, nenhum destes utilizadores parecia estar a usar a app: tinham-na instalado e esquecido.
Entre novembro de 2025 e março de 2026, a empresa usou o próprio atualizador para enviar um pequeno programa que o parava e desligava, sem recolher dados nem apagar ficheiros. Foram mais de dois milhões de descargas e, a 1 de março, os pedidos tinham caído 98%. Os 15 domínios que conseguiu registar passaram para a Shadowserver Foundation, uma organização sem fins lucrativos, mas alguns continuam nas mãos de terceiros.
O que deves fazer
A correção remota só desligou o atualizador. A app usa um motor do Chrome de 2014, sem o isolamento (sandbox) que protege o sistema, e carregava código JavaScript de domínios abandonados. A Eye Security diz ter conseguido, numa prova de conceito, abrir um programa no computador a partir desse código. No Android, onde os investigadores não enviaram nada, o atualizador faz parte da própria app e não pode ser desligado à parte.
Desinstala o Popcorn Time como qualquer outro programa e confirma depois que não sobraram estes ficheiros, indicados pela Eye Security:
- Windows: C:\Program Files\Popcorn Time\Updater.exe
- macOS: /Library/PrivilegedHelperTools/PT.updd
Se encontrares algum deles depois da desinstalação, apaga-o à mão. No telemóvel Android, basta remover a aplicação.
