Popcorn Time Güncelleyicisini Uzaktan Etkisizleştirip Botnet Oluşturabilecek 2 Milyonu Aşan Güncelleme Sızdırıldı.

Görsel Kaynağı: The Hacker News

Eye Security, Hollandalı güvenlik firması, Kasım 2025 ile Mart 2026 arasında, sahipliği olmadığı bilgisayarlara, dışarıdan birinin makineye hakim olmasına olanak tanıyabileceğini belirttiği arka plan güncelleyicisini kapatmak için 2 milyondan fazla güncelleme gönderdi.

Güncelleyici, BitTorrent üzerinden telif hakkı ihlali içeren filmleri ve dizileri yayınlayan ücretsiz bir uygulama olan Popcorn Time’ın terk edilmiş bir kopyası olan Time4Popcorn‘a aittir.

Popcorn Time yaklaşık bir decade önce popülerdi ve orijinali 2014’te kapatıldı, ancak aynı isim altında birkaç kopya çalışmaya devam etti. 2025’in başlarında Popcorn Time adını alan ayrı ve meşru bir proje ise bununla alakalı değil.

Müşteri ağlarını tehditler için izleyen Eye Security, güncelleyiciyi rutin bir tehdit avı sırasında buldu: bir müşterinin dizüstü bilgisayarındaki Updater.exe adlı program, artık kayıtlı olmayan bir web adresine ulaşmaya çalışıyordu.

Firma, ne bağlanacağını görmek için adresi kendi kaydettirdi ve saniyede yaklaşık 50 istek geldi. Daha sonra bu operasyonu, Ekim 22’de Hack.lu’daki bir konuşmada ve bir yazıda, Operation IXIM adını vererek ortaya koydu.

Altı ay boyunca bu istekler 3.8 milyondan fazla farklı donanım kimliği taşıyordu. Bu kimlikler makineleri saymak için güvenilir bir yol kanıtlandı, çünkü bazı Windows bilgisayarlardan biri paylaşıyordu ve bazı Mac’ler kendi kimliklerini değiştiriyordu, bu yüzden Eye tahminini 2.5 ila 3 milyon Windows bilgisayara ve 250.000 ile 350.000 arasında Mac’e revize etti.

Güncelleyici, bilgisayar açıldığı anda Windows ve Mac’te arka planda çalışıyordu. Şifrelenmemiş bir bağlantı üzerinden yeni sürümler için kontrol yapıyor ve kimin gönderdiğini kontrol etmeden, Windows’ta SYSTEM ve Mac’te root olarak adlandırılan en yüksek ayrıcalık düzeyinde, gönderilen her şeyi kuruyordu.

Çağırdığı web adreslerinin terk edilmiş olması nedeniyle, Eye’ya göre, doğru olanı kayıtlırdan herhangi biri, onu çağıran her makineye kendi programını sunabilirdi.

Bu erişime sahip bir makinede, saldırgan fidye yazılımı kurabilir, kaydedilmiş şifreleri çalabilir veya bilgisayarı bir botnet’e dahil edebilir; Eye belirtti. Bağlantı adreslerinin bir örneğini eşleştiren firma, dünya çapında ev kullanıcılarının yanı sıra devlet, askeri ve kurumsal ağlardaki makineleri gördüğünü, ancak bununndan “sonuç çıkarmanın zor” olduğunu ekledi.

Eye, CVE-2026-30612 olarak takip edilen açığı Haziran ayında açıklamıştı. ABD Siber Güvenlik ve Güvenli Altyapı Ajansı bunu 10 üzerinden 9.8 olarak derecelendiriyor. Yazılımın üç sürümünü etkiliyor:

• Windows, 6.2.1.18 dahil buna
• Mac, 6.2.1.17 dahil buna
• Android, 3.5.0.173 dahil buna

Güncelleyiciyi Kendisine Karşı Kullanmak

Yazılımı düzeltecek bir şirket kalmadığı ve yama gelmediği için Eye, güncelleyiciyi kendisine karşı kullanmaya karar verdi. Hukuki danışmanlık aldıktan sonra, tek bir şey yapan bir güncelleme sundu: güncelleyiciyi durdurur ve devre dışı bırakır, dosya silmez ve hiçbir şey toplamaz.

Eye bu adımı, 2021’deki Ladybird Hareketi’yle karşılaştırdı; bu harekette Hollanda polisi Emotet botnet’iyle enfekte olmuş bilgisayarlara yazılımı devre dışı bırakan bir güncelleme göndermişti.

Fark, Eye’ın belirttiği gibi, Emotet mağdurlarının enfekte olmayı hiç seçmemesiyle Popcorn Time kullanıcılarının uygulamayı kendilerinin kurmasıdır. Yine de firma, “hiçbiri yıllarca arka planda çalışan bir unutulan güncelleyiciye sahip tiên seçmedi” dedi.

Güncellemeler başladıktan kısa bir sonra, biri Eye’ın güncellemesini VirusTotal’a yükledi ve antivirüs motorları onu yazılımlar olarak işaretlemeye başladı; bu, bir Windows hizmetini devre dışı bırakan bir program için adil bir tanımdır. Engellenen her ürün, savunmasız güncelleyicinin çalışmaya devam etmesi nedeniyle Eye, tek bir taramanın onu işaretlemeye devam etmesine kadar güncellemeyi yeniden işledi.

Mart sonlarında Eye, terk edilmiş ve kötü amaçlı alan adlarını devreden çıkaran, kâr amacı gütmeyen bir kuruluş olan Shadowserver Foundation’a kontrol ettiği 15 web adresini, bunları güvenilir bir tarafın tutması için Eye yerine teslim etti.

Onlardan birinin, popcorntimeupd[.]xyz, halka açık kayıt kayıtları artık Shadowserver’ın sinkhole sunucularına işaret ediyor ve 20 Mart 2026 tarihli bir aktarım söz konusu. Güncelleyicinin çağırdığı diğer adreslerin hiçbiri Eye’ninkiler değildi ve dış sahiplerde kaldı; bu adreslere ulaşan makineler hâlâ açık durumda.

Eye, bu adreslerden başkasının kod sunduğuna dair bir iz bulamadı: diğer kişiler tarafından zaten kaydedilenler park edilmişti veya satılık durumdaydı, çağrı yapan makinelere güncelleme göndermiyordu. Açık, 23 Ekim 2026 itibarıyla CISA’nın bilinen sömürülen açıklar kataloğuna listelenmemiş.

Popcorn Time Kullanıcıları Ne Yapmalı

Güncelleyiciyi kapatmak uygulamanı güvenli yapmaz. Eye, Popcorn Time’ın 2014 tarihli bir tarayıcı motoru üzerinde çalıştığını, güvenlik kumandasının kapalı olduğunu, içeriği şifresiz bağlantılar üzerinden yüklediğini ve terk edilmiş diğer web adreslerinden kod çektiğini belirtti.

Eye, bu terk edilmiş adresleri de kaydetti ve bunun her açılan makinede kendi kodunu çalıştırmasına izin vereceğini söyledi. Bunu yapmadı, ancak çalışan bir kavram kanıtı geliştirdi, dolayısıyla risk gerçektir. Güncelleme yalnızca güncelleyiciyi değiştirdi, bu yüzden uygulamanın geri kalanı Popcorn Time kullanmaya devam eden herkes için tehlikeli olmaya devam ediyor.

Eye’nin önerisi Popcorn Time’ı kaldırmaktır. Güncelleyici ayrıca elle de kapatılabilir: Windows’ta “Update service”ni durduran ve devre dışı bırakan iki komutla, Mac’te ise PT.updd yardımcısını yükten alan bir komutla. Uygulamayı kaldırmak daha güvenli bir adımdır, çünkü güncelleyiciyi devre dışı bırakmak uygulamanın kalanını yerinde bırakır.

• Windows: sc.exe stop “Update service”
• Windows: sc.exe config “Update service” start= disabled
• Mac: launchctl unload -w /Library/LaunchDaemons/PT.updd.plist

Android’de güncelleyici uygulamaya gömülüdür ve kendi başına kapatılamaz, yalnızca kullanıcı kabul etmek için dokunduğunda kurulur, bu yüzden Eye güncellemeleri Android cihazlara göndermedi. Oradaki tek çözüm uygulayı kaldırmaktır.

Ağları denetleyen savunma ekipleri, iki güncelleme dosyasını—Windows için Updater.exe ve Mac için PT.updd—ve Eye’in raporunda listelenen web adreslerine yönelik trafiği arayabilir; bu raporda 20 etki alanının tamamı ve dosya özetleri yer alıyor.

Güncelleme: 20 Etki Alanının Üçü Shadowserver’ın Sinkhole’undan Dışarıda

26 Ekim’de kamuya açık kayıt ve DNS kayıtlarının incelenmesi, Eye’in raporundaki 20 etki alanından 17’sinin artık Shadowserver’ın sinkhole’una işaret ettiğini ortaya koydu. Bunların 15’i—popcorntimeupd[.]xyz ve sonu .info ile biten 14 isim—20 Mart tarihli bir kayıt devrini gösteriyor; bu da Eye’in devrettiği 15 ile eşleşiyor. İki tanesi daha—popcorntime-update[.]xyz ve updatepopcorntime[.]xyz—aynı sinkhole adreslerini döndürüyor.

Kalan üçü böyle değil. Biri—updpopcorntime[.]xyz—başka bir sağlayıcının ad sunucularını kullanıyor. Diğer ikisi—popcorntime-upd[.]xyz ve time4popcorn[.]info—TransIP adlı hosting şirketinin ad sunucularını kullanıyor ancak hiçbir adres ayarlanmadığından, bu isimleri sorgulayan bir makinenin şu an için bağlanabileceği bir şeyi yok. Kayıt kayıtları, time4popcorn[.]info’nun 19 Ekim’de kaydedildiğini, yani Eye’in konuşmasından üç gün önce olduğunu gösteriyor. Bu üçünün sahibinin kim olduğu kamuya açık kayıtlardan belirlenemiyor.

Sinkhole’a alınmış 14 .info ismi ayrı bir soruna sahip. .info kayıt şirketi, DNS hizmetlerinin bir yanıtın gerçek olduğunu onaylamasını sağlayan DNSSEC kayıtlarını bu isimler için yayımlıyor ancak sinkhole’ın yanıtları bu denetimi geçemiyor. Bu denetimi çalıştıran Google’ın kamuya açık DNS hizmeti, bir adres yerine tüm 14 isim için hata döndürüyor. Kayıtlar böyle kaldığı sürece, DNS hizmeti bu denetimi çalıştıran bir makine bu isimler üzerinden sinkhole’a ulaşamıyor ve bu isimler üzerinden ona bir güncelleme de gönderilemiyor. Denetimi atlayan bir DNS hizmeti yine de sinkhole’ın adreslerini döndürüyor. Sinkhole’a alınmış üç .xyz ismi normal şekilde çözümleniyor.