Popcorn Time : un updater abandonné exposait des millions d'appareils à une prise de contrôle

Des chercheurs de la société de cybersécurité Eye Security ont révélé le 23 octobre 2026 que le service de mise à jour de Time4Popcorn, un fork abandonné du logiciel de streaming pirate Popcorn Time, tournait encore sur des millions d'appareils et pouvait être détourné pour y exécuter n'importe quel programme, a rapporté The Verge.

Quel était le risque avec Time4Popcorn ?

Le développement de Popcorn Time, surnommé le « Netflix du piratage » dans les années 2010, est abandonné depuis des années. Mais son fork Time4Popcorn restait installé sur de nombreux ordinateurs Windows et macOS et sur des appareils Android, partout dans le monde. Son updater contactait toujours des domaines désormais abandonnés, en HTTP non chiffré, et s'appuyait sur une version obsolète et vulnérable de Chrome.

Selon Niels Teusink, chercheur d'Eye Security, l'updater pouvait installer et lancer pratiquement n'importe quel logiciel avec les pleins privilèges. Il suffisait à un attaquant de racheter l'un de ces domaines, ou de mener une attaque de l'homme du milieu contre des appareils ciblés, pour constituer un botnet ou identifier les machines à surveiller. Aucune exploitation malveillante n'est mentionnée dans l'article.

Comment les chercheurs ont-ils réagi ?

Eye Security a enregistré l'un des domaines et s'en est servi pour envoyer sa propre mise à jour, qui ordonne à l'updater de se désactiver. Les chercheurs reconnaissent des questions éthiques mais jugent que l'alternative était de ne rien faire : l'updater n'avait aucune fonction utile et ne créait que du risque.

• Sous Windows, la mise à jour arrête et désactive le service via le gestionnaire de services, sans supprimer de fichiers.

• Sous macOS, un script shell exécute une commande qui empêche le processus de mise à jour de démarrer.

• Sous Android, le cas n'est pas traité : l'installation d'une mise à jour y demanderait une action de l'utilisateur.

L'opération a connu un accroc : une fois la mise à jour déposée sur VirusTotal, des programmes de sécurité l'ont signalée comme malveillante et bloquée, laissant l'updater vulnérable actif. Les chercheurs ont dû la modifier.

Combien d'appareils étaient exposés ?

Le nombre exact n'est pas connu. Eye Security indique avoir envoyé plus de 2 millions de téléchargements de la mise à jour avant mars 2026, date à laquelle elle a cessé et transféré les domaines à la Shadowserver Foundation, une organisation à but non lucratif de sécurité du web. Ce chiffre mesure les mises à jour distribuées, pas des appareils uniques.

Que faire si Popcorn Time est installé ?

Désinstallez le logiciel et ses services associés : l'application est abandonnée et ne recevra plus de correctif. Sur un ordinateur où elle a tourné, vérifiez qu'aucun service de mise à jour ne reste actif et mettez à jour votre navigateur. La désactivation par Eye Security n'est pas une désinstallation : les fichiers restent en place.

Ce cas rappelle qu'un logiciel oublié peut rester une porte d'entrée. Sur un registre voisin, nous avons suivi la compromission de LiteLLM distribuée via un paquet officiel.

Source

• The Verge — Abandoned Popcorn Time apps had to be disabled to prevent a zombie army