Référencée CVE-2026-30612, une vulnérabilité a été découverte dans un fork populaire et abandonné de Popcorn Time, connu sous le nom de Time4Popcorn. Pendant des années, un processus de mise à jour continuait de tourner en arrière-plan sur des millions d’ordinateurs Windows et macOS, contactant des noms de domaine expirés.
Cette situation exposait les utilisateurs à un risque critique d’exécution de code à distance. Durant plusieurs mois, les chercheurs d’Eye Security ont agi dans le cadre d’une opération baptisée IXIM afin de neutraliser un botnet.
Une recherche a révélé un danger dormant
Tout a commencé par une recherche de menaces. Les experts d’Eye Security ont repéré un processus, Updater.exe, tentant de joindre un domaine non enregistré, popcorntimeupd[.]xyz.
En enregistrant ce domaine, ils ont reçu environ 50 requêtes par seconde. Ces connexions provenaient de 2,5 à 3 millions de systèmes Windows et de 250 000 à 350 000 des systèmes macOS.
Le mécanisme de mise à jour fonctionnait via une connexion HTTP non chiffrée et installait n’importe quel exécutable fourni avec les privilèges les plus élevés, sans aucune vérification de signature.
Une menace neutralisée pour l’updater oublié
Après consultation juridique, Eye Security a décidé d’utiliser la faille contre elle-même. Entre novembre 2025 et mars 2026, les chercheurs ont déployé leur propre mise à jour via la quinzaine de domaines qu’ils contrôlaient.
Cette mise à jour ne faisait qu’une seule chose : désactiver définitivement le service de mise à jour vulnérable. L’opération IXIM est comparée à une opération menée par les autorités néerlandaises contre le botnet Emotet.
L’intervention a été un succès, avec plus de 2 millions de téléchargements de la mise à jour corrective et une réduction de 98 % des requêtes.
Le problème est-il entièrement résolu ?
Malgré le succès de l’opération, la menace n’est pas totalement écartée. Les chercheurs recommandent de désinstaller complètement l’application. Leur correctif ne désactive que l’updater. L’application principale repose sur un moteur Chrome de 2014 sans sandbox, le rendant vulnérable à une décennie de failles.
Après avoir neutralisé la menace principale, Eye Security a transféré la propriété des domaines à la fondation à but non lucratif The Shadowserver Foundation pour assurer une surveillance continue.