Popcorn Time: o exército zumbi de milhões de dispositivos abandonados que quase virou botnet

Em algum lugar entre 2014 e hoje, uma versão obsoleta de um aplicativo que uma vez revolucionou o streaming de torrents e desapareceu das lojas continuou rodando silenciosamente em milhões de computadores, aguardando passivamente que alguém controlasse seu mecanismo de atualização defeituoso. O que aconteceu com a Popcorn Time desde seu desaparecimento — e por que uma equipe de pesquisadores de segurança precisou tomar medidas tão radicais para desativá-la — é um retrato fascinante do que acontece com software abandonado quando ninguém assume a responsabilidade.

O que era a Popcorn Time e por que desapareceu

A Popcorn Time nasceu em 2014 como o "Netflix para pirataria": uma aplicação que combinava a interface limpa e intuitiva de serviços de streaming com a infraestrutura BitTorrent para baixar e exibir filmes e séries instantaneamente. Ganhou milhões de fãs por democratizar o acesso a conteúdo — e milhões de problemas legais por distribuir esse conteúdo sem licença. Em meados de 2014, o projeto original foi descontinuado sob pressão jurídica, mas o nome e a ideia continuaram vivos por meio de forks e clones.

Um desses forks, o Time4Popcorn, continuou sendo distribuído como se fosse a versão original, usando o mesmo nome e logotipo. O projeto original havia sido descontinuado há anos, mas versões como o Time4Popcorn (que roda em Windows, macOS e Android) ainda eram baixadas e instaladas, muitas vezes por usuários que nem percebiam que estavam rodando software abandonado.

A descoberta: Updater.exe em um laptop esquecido

Tudo começou com uma caça a ameaças rotineira. Pesquisadores do Eye Security, uma empresa de segurança gerenciada (MSSP), notaram um processo chamado "Updater.exe" rodando em um laptop de um cliente. O processo tentava se conectar a um domínio que já não existia mais: popcorntimeupd.xyz. Era óbvio que se tratava do mecanismo de atualização de algum fork da Popcorn Time.

O que os pesquisadores descobriram a seguir foi surpreendente. O domínio popcorntimeupd.xyz, abandonado há anos, ainda recebia requisições constantes de computadores pelo mundo afora. Para entender o alcance do problema, os pesquisadores registraram o domínio e observaram. Em seis meses, coletaram mais de 3,8 milhões de IDs de hardware diferentes — indicando 3,8 milhões de dispositivos com o software instalado e ativo. Metade executando Windows, cerca de 45% macOS e menos de 5% Android.

A vulnerabilidade: CVE-2026-30612

O problema central era o Updater.exe (Windows) e o PT.updd (macOS). Ambos rodavam com privilégios elevados — como serviço SYSTEM no Windows e como root no macOS — e se comunicavam com o servidor de atualização por HTTP não criptografado, sem qualquer verificação de assinatura digital. Qualquer um que controlasse o servidor de atualização poderia enviar qualquer executável e ele rodaria com plenos privilégios no dispositivo.

Em um cenário de ataque, isso significava que um operador de ransomware poderia usar o Popcorn Time como ponto de entrada em redes corporativas, governamentais e até militares. Senhas armazenadas no dispositivo, credenciais de acesso a sistemas corporativos — tudo em risco. O impacto seria severo, e os próprios pesquisadores do Eye Security alertaram: "Se conseguíssemos enviar uma atualização, poderíamos obter execução de código em milhões de sistemas."

Operation IXIM: quando a pesquisa vira ação

Em vez de apenas publicar um CVE e esperar que ninguém tomasse uma ação — o que seria o protocolo normal — a equipe do Eye Security tomou uma decisão extraordinária: assumir o controle do servidor de atualização e, em vez de enviar malware, desativar remotamente o mecanismo de atualização de todos os dispositivos conectados.

Entre novembro de 2025 e março de 2026, o Eye Research executou a Operation IXIM: eles registraram os domínios abandonados, interceptaram as requisições de atualização e, em vez de entregar código malicioso, enviaram um script de remoção que parava o serviço Updater.exe (Windows) e desativava o PT.updd (macOS). O processo era silencioso e invisível para o usuário — simplesmente, o software abandonado parava de funcionar.

Os primeiros dias foram cautelosos. Os pesquisadores serviam apenas IDs de hardware que já tinham visto antes, uma vez cada, e redirecionavam clientes para HTTPS sempre que possível. Após algumas semanas, relaxaram esses limites para alcançar mais sistemas. No total, mais de dois milhões de atualizações de remediação foram baixadas.

A reação foi imediata. Uma semana depois, 11 fornecedores de antivírus já estavam detectando a atualização do Eye como malware — o que não é surpreendente, já que o script realmente parava serviços do sistema operacional e modificava processos com privilégios root. O VirusTotal resumiu: "O malware tem como alvo e desativa um serviço do Windows nomeado 'Update service'."

O que isso nos diz sobre o futuro do software

A história do Popcorn Time e da Operation IXIM levanta uma questão que a indústria de tecnologia vem ignorando há anos: o que acontece com milhões de dispositivos quando um software é abandonado sem um plano de encerramento?

A Popcorn Time original foi descontinuada há mais de uma década. Seus forks continuam vivos em computadores de usuários que nem sabem que estão rodando software inseguro. O mecanismo de atualização, que deveria manter o software atualizado, acabou se tornando um vetor de risco massivo — literalmente um botão de "executar qualquer código" entregue na porta de milhões de máquinas.

O caso também mostra um novo padrão de comportamento na segurança cibernética. Quando a equipe do Eye Security percebeu que o domínio abandonado era um risco, não esperou que atacantes o explorassem primeiro. Em vez de publicar um advisory e torcer que alguém fizesse algo, eles assumiram o risco de executar código em dispositivos de terceiros — o que, ironicamente, era mais seguro do que deixar o Updater.exe rodando.

A indústria de cibersegurança conviveu por anos com a ideia de que bastava publicar um CVE e esperar que os fabricantes corrigissem o problema. A Operation IXIM prova que, quando o software está morto e ninguém mais o mantém, a responsabilidade cai sobre quem tem o conhecimento e a capacidade técnica de agir. E se o Popcorn Time não fosse o único caso? Quantos outros programas obsoletos estão rodando silenciosamente em milhões de dispositivos, aguardando que um ator malicioso assuma o controle de seu servidor de atualização?

Fontes: The Verge, Eye Security Research, BleepingComputer

✓ Fontes independentes cruzadas e verificadas antes da publicação