LONDON (IT BOLTWISE) – Eine niederländische Sicherheitsfirma hat zwischen November 2025 und März 2026 mehr als 2 Millionen Updates an fremde Rechner verteilt, um einen schädlichen Hintergrund-Updater aus dem ehemaligen Popcorn-Time-Umfeld abzuschalten. Der Updater gehörte zu Time4Popcorn und konnte sich laut Analyse mit höchsten Rechten selbst neue Anweisungen aus einer Webadresse holen. Eye Security senkte den Datenverkehr zu den verwendeten Adressen innerhalb weniger Monate um rund 98 %. Übrig bleibt für Nutzer vor allem: Popcorn Time deinstallieren, weil das eigentliche App-Setup weiterhin ein Sicherheitsrisiko bleibt.
Zwischen November 2025 und März 2026 hat Eye Security, eine niederländische Firma mit Fokus auf Client- und Netzwerkbeobachtung, mehr als 2 Millionen Updates an Computer geschickt, die das Unternehmen selbst nicht betrieb. Der technische Kern: ein Hintergrunddienst aus dem Time4Popcorn-Ökosystem, also einer verlassenen Abspaltung eines früher populären Popcorn-Time-Clients, der offenbar über einen extern erreichbaren Mechanismus beliebigen Code nachladen konnte. Eye Security positionierte die Aktion ausdrücklich als Gegenmaßnahme zu einer Lücke, die bereits im Juni offengelegt und als CVE-2026-30612 dokumentiert worden war. Dass es überhaupt zu dieser Größenordnung kam, liegt nicht nur an der Verbreitung der App-Kopie, sondern auch daran, dass der Updater seit dem Start des Systems ohne Nutzerinteraktion im Hintergrund aktiv war.
Das Zeitfenster der Beobachtung und die Größenordnung der betroffenen Systeme verdeutlichen, warum das Thema für Security-Teams praktisch relevant ist: Eye Security beschreibt Anfragen, die bei einer Webadresse im Sekundenintervall in der Größenordnung von etwa 50 Requests pro Sekunde eintrafen, nachdem die Firma die Zieladresse registriert hatte, um die Gegenstelle zu identifizieren. Über sechs Monate fielen dabei mehr als 3,8 Millionen verschiedene Hardware-IDs an, die allerdings nur bedingt als Zählmaß taugen, weil manche Windows-PCs offenbar eine ID teilten und Macs ihre Kennungen ändern. Nach dieser Korrektur rechnet Eye Security mit 2,5 bis 3 Millionen Windows-Systemen sowie 250.000 bis 350.000 Mac-Rechnern, die den Updater zumindest zeitweise erreicht hatten. Der Updater selbst lief laut Analyse auf Windows und macOS ab dem Systemstart; dabei holte er Versions- und Update-Informationen über eine unverschlüsselte Verbindung und installierte das Gelieferte „ohne zu prüfen, wer es sendet“ auf sehr hohen Rechten – SYSTEM unter Windows und „root“ unter macOS.
Auch wenn das ursprüngliche Popcorn Time vor etwa einem Jahrzehnt an Bedeutung verlor und 2014 abgeschaltet wurde, zeigen die späteren Kopien, wie hartnäckig solche Legacy-Ökosysteme bleiben können. Eye Security stellt klar, dass es in frühen 2025 einen legalen Projektansatz gab, der den Popcorn-Time-Namen verwendete, aber nicht mit dem hier relevanten Updater-Setup zusammenhing. Die eigentliche Gefahr entstand dadurch, dass die Updater-Zieladressen irgendwann nicht mehr registriert waren: Wer die „richtige“ Webadresse kontrollierte, hätte den Updater im Prinzip dazu bringen können, eine eigene Payload auszuliefern. Auf einem System mit entsprechendem Zugriff wäre laut Eye Security unter anderem die Installation von Ransomware, das Auslesen gespeicherter Passwörter oder die Aufnahme in ein Botnetz möglich gewesen. Auffällig ist dabei der Umstand, dass Eye Security nach eigener Darstellung keine belastbaren Schlüsse aus der beobachteten Infrastruktur ableiten konnte, ob und wie viele konkrete Angriffe daraus bereits real gestartet waren.
Statt auf eine klassische Patch-Strategie zu setzen, die nach dem „Abandoned“-Status der Software oft ins Leere läuft, wählte Eye Security einen ungewöhnlichen Gegenentwurf: Der Updater sollte „gegen sich selbst“ arbeiten. Nach rechtlicher Beratung schickte die Firma den betroffenen Rechnern ein Update, das im Wesentlichen nur eine Aufgabe erledigt: den Updater zu stoppen und zu deaktivieren, ohne Dateien zu löschen und ohne Daten zu sammeln. Eye Security verglich den Schritt mit der Operation Ladybird aus dem Jahr 2021, bei der Behörden infizierte Systeme im Kontext des Emotet-Botnetzes per Update bereinigen sollten. Der entscheidende Unterschied aus Sicht der Firma: Bei Emotet waren die Opfer nicht freiwillig betroffen, während Popcorn-Time-Nutzer die App selbst installiert hätten. Gleichzeitig betonte Eye Security, dass „keiner“ dieser Nutzer eine Jahre im Hintergrund laufende Vergessenskomponente aktiv gewählt habe – technisch bleibt es dennoch ein Angriffsvektor, solange der Updater im Betrieb bleibt.
Praktisch setzte Eye Security außerdem auf stufenweise Umschaltung. Nachdem die Gegenmaßnahme begonnen hatte, wurde das Update offenbar über VirusTotal hochgeladen, und Antiviren-Engines begannen, es als Malware zu klassifizieren. Das war im Grunde plausibel: Ein Programm, das einen Windows-Dienst stoppt und deaktiviert, löst bei vielen Schutzprodukten ähnliche Signaturen aus. Damit jedoch jedes Schutzprodukt nicht die verletzliche Komponente weiter laufen lässt, arbeitete Eye Security an der Versionierung der Update-Nutzlast so, dass letztlich nur noch ein einzelner Scanner das Update weiterhin blockierte. Bis Dezember 2025 hatte die Firma laut eigener Angabe mehr als 1 Million Systeme aktualisiert und den Traffic zu den betroffenen Webadressen um etwa 90 % reduziert; bis zum 1. März waren es etwa 5.000 Updates pro Tag, also rund 98 % weniger als zuvor. Sobald die verbleibenden Zahlen aus Sicht der Firma nicht mehr interessant für einen Botnet-Betreiber waren, stoppte Eye Security die Rückkopplung und übergab die kontrollierten Adressen Ende März an die Shadowserver Foundation, die problematische, aufgegebene Domains aus dem Verkehr zieht.
Für Defender ist die Lage damit zweigeteilt: Das Abschalten des Updaters allein macht die App nicht automatisch „sicher“. Eye Security beschreibt, dass Popcorn Time weiterhin auf einer Browser-Engine aus dem Jahr 2014 basiert, deren Security-Sandbox deaktiviert ist, Inhalte über unverschlüsselte Verbindungen nachlädt und zusätzlich Code von weiteren, ebenfalls aufgegebenen Webadressen importiert. Eye Security führte zwar eine Gegenmaßnahme bei den Updater-Adressen durch und baute auch einen funktionierenden Proof-of-Concept, um die prinzipielle Ausnutzbarkeit zu belegen, doch das bedeutet nicht, dass die restliche App-Logik unkritisch wäre. Entsprechend lautet die klare Empfehlung: Popcorn Time deinstallieren. Alternativ lässt sich der Updater manuell abstellen – Eye Security nennt dafür konkrete Kommandos für Windows (Stoppen und Deaktivieren eines „Update service“) sowie für macOS (Unloading eines „PT.updd“-Helpers über launchctl). Auf Android ist der Updater laut Darstellung in die App eingebettet und kann nicht separat deaktiviert werden; dort kommt er nur zum Einsatz, wenn Nutzer das Update durch Akzeptanz installieren, weshalb Eye Security keine Android-spezifischen Updates ausliefert.
Damit sich ein Unternehmen oder ein Security-Team in der Praxis ein Bild machen kann, nennt Eye Security Prüfmarken, die ohne tiefes Reverse-Engineering auskommen: zum einen die Updater-Dateien wie Updater.exe unter Windows und PT.updd unter macOS, zum anderen die Netzwerkverbindungen zu den in der Analyse beschriebenen Webadressen und zusätzlich die Hashes der relevanten Komponenten. Interessant ist auch der Status in öffentlichen Katalogen: Die Lücke wird zum von Eye Security genannten Zeitpunkt nicht in CISA’s Katalog bekannter, bereits ausgenutzter Schwachstellen geführt, was die Relevanz der Incident-Detection für „unbekannte“ oder „abseits dokumentierter“ Pfade erhöht. Für die betriebliche Planung heißt das: Nicht nur das Vorhandensein einer App ist entscheidend, sondern auch, ob ein Hintergrund-Update-Mechanismus mit sehr hohen Rechten ohne Authentizitätsprüfung in eine potenziell kompromittierbare Infrastruktur spricht.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Eye Security stoppt über 2 Millionen Updates: Time4Popcorn-Updater offenbar missbrauchbar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Eye Security stoppt über 2 Millionen Updates: Time4Popcorn-Updater offenbar missbrauchbar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Eye Security stoppt über 2 Millionen Updates: Time4Popcorn-Updater offenbar missbrauchbar« bei Google Deutschland suchen, bei Bing oder Google News!