אפליקציות Popcorn Time רדומות כמעט הפכו לסיוט של האינטרנט

מיליוני מחשבים ברחבי העולם, כולל ברשתות של חברות, ממשלות וצבאות, המשיכו להריץ ברקע את אפליקציית הסטרימינג הפיראטית שננטשה לפני שנים, והיו חשופים למתקפה חריגה

מקור: Eye Security

זוכרים את Popcorn Time? אפליקציית הסטרימינג שלרגעים הרגישה כמו נטפליקס של הפיראטים (אל תיעלבי, Stremio), אבל מאז נעלמה מחייהם של רוב המשתמשים לפני שנים. ולמרות שאתם שכחתם ממנה, מחקר חדש מגלה שהיא לא בהכרח שכחה מכם – ויכלה להיות כאב ראש רציני מאוד עבורכם ועבור מיליונים אחרים.

האפליקציה נסגרה, אבל חלק ממנה נשאר

חוקרי אבטחה גילו שמיליוני מחשבים ברחבי העולם עדיין מריצים רכיב של אחת הגרסאות של פופקורן טיים, שמאפשר לתוקפים להשתלט עליהם מרחוק. החוקרים, מחברת הסייבר ההולנדית Eye Security, זיהו במסגרת פעילות ניטור שגרתית תהליך בשם Updater.exe שרץ על מחשב של אחד מלקוחות החברה. התהליך ניסה ליצור קשר עם דומיין בשם popcorntimeupd.xyz, אלא שהדומיין כבר לא היה רשום על שם אף אחד. בדיקה נוספת העלתה שמדובר ברכיב עדכונים של Time4Popcorn, אחת הגרסאות שנוצרו בעקבות סגירת פרויקט Popcorn Time המקורי ב-2014. למרות שהאפליקציה המקורית נסגרה לפני 12 שנה, לא מעט גרסאות שלה המשיכו להסתובב ברשת לאורך השנים, לעיתים תחת אותו השם. אחת מהן הייתה Time4Popcorn, שבה התמקדו חוקרי Eye.

אחרי שגילו את רכיב העדכונים הנטוש, החוקרים החליטו לעשות את הדבר ההגיוני ביותר, וקנו את הדומיין שאליו הוא ניסה להתחבר, רק כדי לבדוק אם יש עוד מחשבים שמנסים ליצור איתו קשר. התוצאה הפילה אותם לרצפה: השרת שהקימו קיבל כ-50 בקשות בשנייה ממחשבים שמחפשים עדכון לתוכנה. במשך חצי שנה שבה הריצו את הניסוי הזה, זיהו החוקרים יותר מ-3.8 מיליון מזהי מכשירים שונים. בהמשך הם סייגו כי ייתכן שמדובר במספר מנופח קלות, בגלל האופן שבו מחשבי מק מייצרים מזהי מכשיר. בסופו של דבר, החוקרים העריכו שמדובר בכ-2.5 עד 3 מיליון מחשבי Windows ועוד כ-250 עד 350 אלף מחשבי Mac. גם מכשירי אנדרואיד נמצאו בין המכשירים שיצרו קשר עם שרתי העדכונים. וכמובן מכשירי iOS לא היו כי… אין אפליקציות סטרימינג פיראטיות להורדה ב-iOS. לפחות לא בכוונה.

אבל העובדה שמיליוני מחשבים המשיכו לחפש עדכונים לאפליקציה שננטשה הייתה רק תחילת הסיפור. החוקרים ביצעו הנדסה לאחור לרכיב העדכונים, וגילו מנגנון בעייתי במיוחד שבמסגרתו התוכנה חיפשה עדכונים באמצעות חיבור HTTP לא מוצפן, ולא ביצעה אימות חתימה דיגיטלית לקבצים שהורידה. למה זה חשוב? כיוון שמי שהצליח להשתלט על אחד הדומיינים שאליהם התחברה התוכנה, יכול היה להציג לה קובץ זדוני בתור עדכון לגיטימי, לגרום לה להוריד אותו ולהריץ אותו על המחשב. וזה אפילו גרוע יותר ממה שזה נשמע כי גם ב-Windows וגם במק רכיב העדכונים היה מסוגל להריץ את הקוד שהתקבל עם הרשאות חריגות – וכל זה היה יכול לקרות ברקע, בלי שהמשתמש יצטרך ללחוץ על קישור חשוד או לאשר התקנה של תוכנה כלשהי. החולשה שמצאו החוקרים (CVE-2026-30612) יכלה לאפשר לתוקפים להשתלט על מיליוני מחשבים ולהפוך אותם לרשת בוטים עצומה. אחד החלקים המעניינים ביותר במחקר מגלה כי לא רק שמחשבים או סמארטפונים פרטיים היו חשופים למתקפה החריגה הזאת, אלא גם מחשבים המחוברים לרשתות ארגוניות, ממשלתיות ואפילו צבאיות היו חשופים. שובבים אתם.

מפת המקומות שבהם נמצא הרכיב הבעייתי. וכן שימו לב לישראל | מקור: Eye Security

לא רק אתם חשופים

הגילוי היה משמעותי, אבל מה עושים כשמוצאים משהו כזה בתוכנה שלא עודכנה שנים והופעלה ככל הנראה על ידי גורמים נטולי שם, כי מדובר בפיראטיות? החוקרים החליטו לטפל בבעיה חריגה בדרך חריגה, ואחרי שבדקו שאת הנושא ברמה המשפטית החוקרים יצרו עדכון משלהם, שהופץ למחשבים באמצעות אותו מנגנון בעייתי. אלא שבמקום להתקין נוזקה, העדכון ביצע פעולה אחת בלבד: עצירה והשבתה של שירות העדכונים הבעייתי. ב-Windows הם עשו זאת באמצעות מנהל השירותים של מערכת ההפעלה, וב-macOS באמצעות השבתת תהליך הרקע שהפעיל את העדכונים. לדברי החוקרים, העדכון לא אסף מידע מהמחשבים ולא מחק קבצים.

המבצע לעדכון הכלי הבעייתי קרה בין נובמבר 2025 למרץ 2026, כאשר כבר בדצמבר הצליחו החוקרים להפיץ את העדכון ליותר ממיליון מחשבים, והבקשות לשרתי העדכונים שבשליטתם ירדו בכ-90%. עד תחילת מרץ נרשמה ירידה של 98% במספר הבקשות, ובסך הכול נרשמו יותר משני מיליון הורדות של העדכון. החוקרים מציינים כי בדרך הם נתקלו בבעיה משעשעת למדי כשתוכנות אנטי-וירוס החלו לזהות את העדכון שלהם כנוזקה, משום שניסה להשבית שירות במערכת ההפעלה – התנהגות שמאפיינת גם תוכנות זדוניות. בשלב מסוים, מציינים החוקרים, 11 מוצרי אבטחה שונים סימנו את העדכון כחשוד והם נאלצו לשנות את הקוד שלהם כדי לעקוף את הזיהויים הללו, עד שנותר מוצר אבטחה אחד בלבד שהמשיך לסמן אותו כבעייתי.

לא הסוף

למרות ההצלחה של המבצע, החוקרים מזהירים שמי שעדיין מחזיק על המחשב את Time4Popcorn לא יכול להניח שהוא מוגן, כי מנגנון העדכונים היה רק אחת הבעיות שהתגלו בתוכנה. במהלך הבדיקה גילו החוקרים שהאפליקציה עצמה מבוססת על מנוע Chrome משנת 2014, כשה-Sandbox שלו מושבת. המשמעות היא שהאפליקציה משתמשת ברכיבי דפדפן מיושנים, ללא שכבת הגנה חשובה שנועדה לבודד קוד שעלול להיות זדוני משאר המערכת. בנוסף, גם האפליקציה עצמה משתמשת בחיבורי HTTP לא מוצפנים וטוענת קוד JavaScript מדומיינים שננטשו. החוקרים הצליחו לרשום גם את הדומיינים האלה, וניצלו את המנגנון הבעייתי להרצת קוד על המחשב באמצעות JavaScript כולל POC להרצת המחשבון של Windows מתוך האפליקציה. במכשירי אנדרואיד המצב שונה מעט. בניגוד ל-Windows ול-macOS, מנגנון העדכונים לא פועל ברקע אלא בודק אם יש עדכון כשהמשתמש פותח את האפליקציה, ונדרשת הסכמה להתקנת קובץ APK. לכן החוקרים לא הפיצו עדכון למכשירי אנדרואיד, והם עדיין חשופים לחולשה.

לצד כל הניסיונות לדחוף את התיקון, ההמלצה מהחוקרים מאוד פשוטה: אם בטעות אתם אגרני תוכנה ויש אצלכם עדיין קליינט של Time4Popcorn, זה הזמן להסיר אותו. השבתת מנגנון העדכונים לא מתקנת את שאר חולשות האבטחה באפליקציה, שממשיכות לסכן את מי שמשתמש בה. חשוב גם לציין שהמחקר לא מתייחס לכל אפליקציית-בת שיצאה ל-Popcorn Time, לכן יש סיכוי שיש עוד חולשות אבטחה כמו אלו שמסתתרות ועדיין לא נחשפנו אליהן עם אפליקציות מהסוג הזה.