veilletech.frCe qui se passe
Lors d'une chasse aux menaces de routine, la société néerlandaise Eye
Security a vu un Updater.exe, sur le portable d'un client, interroger une
adresse web qui n'était plus enregistrée. Elle l'a enregistrée elle-même pour
voir ce qui s'y connecterait : environ 50 requêtes par seconde. Le programme
vient de Time4Popcorn, une copie abandonnée de Popcorn Time (l'original a
fermé en 2014). L'opération, nommée IXIM, a été présentée à Hack.lu le
22 octobre.
Le mécanisme
L'updater se lance au démarrage sous Windows et Mac. Il cherche les nouvelles versions sur une connexion non chiffrée et installe ce qu'on lui envoie avec les droits les plus élevés (SYSTEM sous Windows, root sous Mac), sans vérifier l'expéditeur. Les adresses appelées étant abandonnées, quiconque enregistrait la bonne pouvait servir son propre programme à chaque machine qui l'appelait : rançongiciel, vol de mots de passe, botnet.
La faille est CVE-2026-30612, notée 9,8 par la CISA, et touche trois versions :
Windows jusqu'à 6.2.1.18, Mac jusqu'à 6.2.1.17, Android jusqu'à 3.5.0.173.
Sur six mois, les requêtes portaient plus de 3,8 millions d'identifiants matériels, un mauvais compteur (certains PC en partagent un, certains Mac en changent). Eye estime 2,5 à 3 millions de PC Windows et 250 000 à 350 000 Mac. Sur un échantillon d'adresses, Eye a vu des particuliers du monde entier mais aussi des réseaux publics, militaires et d'entreprises, en précisant qu'il est « difficile d'en tirer des conclusions ».
La réponse
Sans éditeur pour corriger, Eye a utilisé l'updater contre lui-même. Après avis
juridique, de novembre 2025 à mars 2026, elle a servi une mise à jour qui
arrête et désactive l'updater, sans supprimer de fichier ni rien collecter.
En décembre 2025, plus d'un million de machines étaient traitées et le trafic
avait baissé d'environ 90 %. Au 1er mars, 5 000 mises à jour par jour (−98 %) :
Eye s'est arrêtée après plus de 2 millions de téléchargements. Fin mars, elle a
confié ses 15 domaines à la fondation Shadowserver (popcorntimeupd[.]xyz,
transfert daté du 20 mars 2026).
Ce qui reste exposé
Désactiver l'updater ne rend pas l'application sûre. Popcorn Time tourne sur un moteur de navigateur de 2014, bac à sable désactivé, charge du contenu en clair et du code depuis d'autres domaines abandonnés ; Eye les a aussi enregistrés et a construit un exploit de démonstration fonctionnel, qu'elle n'a pas déployé. Certaines adresses de l'updater appartiennent à des tiers : les machines qui les atteignent restent exposées. Sur Android, l'updater est intégré à l'application, ne s'installe que si l'utilisateur accepte, et Eye n'a rien envoyé. La faille n'est pas au catalogue KEV de la CISA au 23 octobre.
Comment s'y prendre
Le plus sûr est de désinstaller Popcorn Time. À défaut, désactiver l'updater :
sc.exe stop "Update service"
sc.exe config "Update service" start= disabledlaunchctl unload -w /Library/LaunchDaemons/PT.updd.plistPour une recherche réseau, chercher Updater.exe (Windows) et PT.updd (Mac)
et le trafic vers les 20 domaines listés dans le rapport d'Eye, qui donne aussi
les empreintes des fichiers.
Côté produit, la leçon que l'on peut en tirer : une mise à jour automatique doit être signée, servie en HTTPS, et chaque domaine qu'elle appelle doit rester à vous.
Source : The Hacker News, 24 octobre 2026. Source en anglais. Rapport d'Eye Security : Operation IXIM.