🔍 Contexte

Publié le 23 octobre 2026 sur BleepingComputer, cet article rapporte la découverte et la remédiation d’une vulnérabilité critique de type RCE (Remote Code Execution) affectant l’application Time4Popcorn, un fork abandonné du client BitTorrent Popcorn Time, par les chercheurs d’Eye Security.

🐛 Vulnérabilité

La faille, référencée CVE-2026-30612, réside dans le mécanisme de mise à jour automatique de l’application :

  • Le client contactait le domaine abandonné popcorntimeupd.xyz via HTTP non chiffré
  • Les exécutables téléchargés n’étaient pas vérifiés par signature numérique
  • Tout acteur contrôlant ce domaine pouvait pousser du code arbitraire exécuté en tant que SYSTEM sur Windows et root sur macOS
  • Les plateformes affectées : Windows et macOS (Android partiellement exposé)

📊 Exposition

Eye Security a enregistré le domaine abandonné et observé :

  • Jusqu’à 3 millions de connexions clientes Windows
  • 350 000 connexions clientes macOS
  • Des connexions provenant de réseaux résidentiels, d’entreprises, gouvernementaux et militaires
  • Les utilisateurs semblaient avoir installé l’application et l’avoir oubliée

🛠️ Remédiation

Entre novembre 2025 et mars 2026, Eye Security a utilisé le mécanisme de mise à jour vulnérable pour déployer un payload de remédiation :

  • Arrêt et désactivation du service de mise à jour
  • Aucune collecte de données ou télémétrie sur les hôtes
  • Aucune suppression de fichiers utilisateurs
  • 2 millions de téléchargements du correctif enregistrés
  • Réduction de 98% des requêtes vers le domaine de mise à jour d’ici le 1er mars 2026
  • 14 domaines supplémentaires associés au service ont été enregistrés par les chercheurs
  • La propriété des domaines a été transférée à The Shadowserver Foundation

⚠️ Risques résiduels

  • Les utilisateurs Android restent exposés (interaction utilisateur requise pour les mises à jour, remédiation à distance impossible)
  • L’application embarque un moteur Chrome datant de 2014, sans protection sandbox, exploitable indépendamment

📄 Nature de l’article

Il s’agit d’une publication de recherche combinant divulgation de vulnérabilité et description d’une opération de remédiation proactive menée par Eye Security, visant à documenter l’étendue de l’exposition et les actions correctives entreprises.

🧠 TTPs et IOCs détectés

TTP

  • T1195.002 — Compromise Software Supply Chain (Initial Access)
  • T1072 — Software Deployment Tools (Execution)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1553.002 — Subvert Trust Controls: Code Signing (Defense Evasion)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 26 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 61/100 (moyenne)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 3385 chars — texte complet (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ 0/1 IOCs confirmés externellement (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/abandoned-popcorn-time-app-exposed-millions-of-device-to-rce-attacks/