Pesquisadores de Segurança Desativam Atualizador Vulnerável do Popcorn Time em 2M de Dispositivos
A empresa holandesa Eye Security enviou atualizações não solicitadas para desativar um atualizador automático problemático. O componente vulnerável pertencia ao Time4Popcorn, um aplicativo de streaming torrent descontinuado.
TL;DR
- Mais de 2 milhões de dispositivos receberam atualizações forçadas para desativar um atualizador vulnerável do Popcorn Time.
- O atualizador fazia parte do Time4Popcorn, um aplicativo de streaming BitTorrent abandonado.
- A exploração poderia ter levado ao controle remoto dos dispositivos pelos atacantes.
- A Eye Security agiu sem o consentimento do usuário para prevenir a formação de uma possível botnet.
- Destaca os riscos de softwares de terceiros desatualizados em ambientes corporativos.
Em uma medida sem precedentes entre novembro de 2025 e março de 2026, a empresa holandesa de cibersegurança Eye Security implantou remotamente mais de 2 milhões de atualizações em dispositivos que não eram de sua propriedade. O objetivo era desativar um componente de atualização automática no Time4Popcorn — uma versão abandonada do aplicativo de streaming de mídia baseado em torrents Popcorn Time — que representava um risco significativo à segurança.
A vulnerabilidade no atualizador poderia ter permitido que agentes maliciosos executassem código arbitrário e, potencialmente, assumissem o controle das máquinas afetadas. Com milhões de instalações ainda ativas, a falha representava uma excelente oportunidade para recrutamento em larga escala de dispositivos para uma botnet. Ao enviar essas correções não solicitadas, a Eye Security neutralizou efetivamente uma bomba-relógio em inúmeros sistemas desatualizados.
Contexto sobre o Risco do Time4Popcorn
- O Time4Popcorn é um fork não oficial do Popcorn Time que transmite conteúdo pirateado via BitTorrent.
- Seu atualizador automático rodava silenciosamente em segundo plano nos sistemas dos usuários.
- O atualizador carecia de autenticação adequada e canais seguros de comunicação.
- Isso tornava possível que invasores enviassem atualizações maliciosas e obtivessem acesso remoto.
- Como o projeto foi abandonado, nenhuma correção oficial estava prevista.
Hackerismo Ético ou Excesso de Poder?
- A Eye Security agiu sem permissão explícita dos proprietários dos dispositivos.
- Sua intervenção evitou uma exploração potencial, mas ignorou os modelos tradicionais de consentimento.
- A ação levanta questões sobre defesa proativa versus modificação não autorizada de sistemas.
- Nenhum dado do usuário foi acessado ou coletado durante o processo de atualização.
- Especialistas da indústria permanecem divididos sobre se tais ações devem ser normalizadas.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.