Popcorn Time: Verlassene Update-Server bedrohten Mac-Nutzer

Einst war Popcorn Time ein großer Hype: Mit der P2P-Streaming-App war es möglich, (zumeist illegal kopiertes) Filmmaterial anzusehen, ohne dass etwas heruntergeladen werden musste, eine Art Piraten-Netflix. Mittlerweile ist „Hollywoods schlimmster Albtraum“ kaum ein Thema mehr. Das gilt allerdings nicht für Personen, die sich die Anwendung auf ihren Mac heruntergeladen haben. Wie das Sicherheitsunternehmen Eye Research in einem neuen Paper erläutert, hätten sich Angreifer aus einem Updater-Modul, das Teil einer Variante der Popcorn-Time-App ist, ein Botnet bauen können. Das geschah allerdings nicht: Stattdessen wurde Eye Research selbst tätig. Betroffen waren neben macOS auch Windows-Systeme und Android-Smartphones, schreiben die Forscher.

Alternativer Popcorn-Time-Client betroffen

Bei der übernehmbaren Software handelt es sich um einen alternativen Client namens Time4Popcorn, der auch unter anderen Begriffen verbreitet wurde. Die Software wird seit Jahren nicht mehr weiterentwickelt, telefoniert aber nach wie vor regelmäßig nach Hause, um nach Updates zu schauen. Das Problem: Diese Update-Server hätten übernommen werden können, da sie von den ursprünglichen Machern aufgegeben wurden. Eye Resarch ermittelte, dass darüber dann beliebiger Code auf dem Rechner, auf dem Time4Popcorn lief, ausgeführt werden konnte.

Unter macOS sei dies sogar mit Root-Rechten möglich gewesen. Der Updater wurde bei jedem Systemstart ausgeführt, teilweise öfter. Zwischenzeitlich schätzte Eye Research, dass bis zu 1,7 Millionen macOS-Hosts betroffen waren, mittlerweile gehen die Sicherheitsforscher von 250.000 bis 350.000 Maschinen aus.

Sicherheitsfirma patcht selbst

Entdeckt wurde das Problem bereits im November 2025. Bei Eye Research wurde dann überlegt, was getan werden könnte. Die Sicherheitsfirma traf schließlich die Entscheidung, das Problem selbst zu lösen: Die verlassenen Update-Server wurden übernommen und ein Update ausgespielt, das den Start des unsicheren Update-Dienstes verhinderte.

Unumstritten ist ein solches Vorgehen, für die keine Zustimmung der Nutzer vorlag, keineswegs: Auf VirusTotal wurde der Patch sogar als „Malware“ geflaggt. Und auch mit dem aufgespielten Schutz vor dem Update-Prozess sollten Nutzer den Popcorn-Time-Client nicht auf ihrem Rechner lassen, denn die Software selbst reißt Sicherheitslöcher. Eye Research hat die Domains, die der Update-Prozess abfragte, nun an die Shadowserver Foundation weitergereicht, die gegen genau solche Angriffsformen kämpft und die Adressen weiter beaufsichtigt. Details zu dem Vorfall hat Eye Research in einem Talk auf der hack.lu-Konferenz zusammengefasst.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.