Mit der Referenz CVE-2026-30612 wurde eine Schwachstelle in einem beliebten und verlassenen Fork von Popcorn Time, bekannt als Time4Popcorn, entdeckt. Jahrelang lief im Hintergrund auf Millionen von Windows- und macOS-Computern ein Update-Prozess weiter, der abgelaufene Domänennamen kontaktierte.

Diese Situation setzt Benutzer einem kritischen Risiko einer Remotecodeausführung aus. Mehrere Monate lang waren Eye Security-Forscher im Rahmen einer Operation namens IXIM tätig, um ein Botnetz zu neutralisieren.

Forschung deckt schlummernde Gefahr auf

Alles begann mit einem Bedrohungsscan. Experten von Eye Security haben einen Prozess entdeckt: Updater.exeversucht, einer nicht registrierten Domäne beizutreten, popcorntimeupd(.)xyz.

Durch die Registrierung dieser Domain erhielten sie etwa 50 Anfragen pro Sekunde. Diese Verbindungen kamen von 2,5 bis 3 Millionen Windows-Systemen und 250.000 bis 350.000 von macOS-Systemen.

Der Aktualisierungsmechanismus funktionierte über eine unverschlüsselte HTTP-Verbindung und installierte alle gebündelten ausführbaren Dateien mit den höchsten Berechtigungen, ohne dass eine Signaturüberprüfung erforderlich war.

Eine neutralisierte Bedrohung für den vergessenen Updater

Nach rechtlicher Beratung beschloss Eye Security, den Fehler gegen sich selbst auszunutzen. Zwischen November 2025 und März 2026 stellten Forscher ihr eigenes Update bereit über die fünfzehn Domänen, die sie kontrollierten.

Dieses Update hat nur eines bewirkt: den anfälligen Update-Dienst dauerhaft zu deaktivieren. Die Operation IXIM wird mit einer Operation der niederländischen Behörden gegen das Emotet-Botnetz verglichen.

Die Intervention war ein Erfolg, mit über 2 Millionen Downloads des Patches und einer Reduzierung der Anfragen um 98 %.

Ist das Problem vollständig gelöst?

Trotz des Erfolgs der Operation konnte die Bedrohung nicht vollständig beseitigt werden. Forscher empfehlen, die App vollständig zu deinstallieren. Ihr Fix deaktiviert nur den Updater. Die Hauptanwendung basiert auf einer Chrome-Engine aus dem Jahr 2014 ohne Sandbox und ist daher anfällig für ein Jahrzehnt voller Fehler.

Nachdem die Hauptbedrohung neutralisiert war, übertrug Eye Security das Eigentum an den Domains an die gemeinnützige The Shadowserver Foundation, um die Überwachung fortzusetzen.