Vergessener Popcorn-Time-Updater gefährdete bis zu 350.000 Macs

Ein veralteter Updater der aufgegebenen Popcorn-Time-Version Time4Popcorn machte Hunderttausende Macs für Angriffe anfällig. Sicherheitsforscher:innen griffen ein und schalteten den Hintergrunddienst ab.

Ein unsicherer Updater mit Root-Rechten

Die Sicherheitsfirma Eye Research beschrieb den Fund am 22. Oktober 2026 in einem Bericht zur Operation IXIM. Betroffen war Time4Popcorn, eine Abspaltung der BitTorrent-Streaming-App Popcorn Time. Das ursprüngliche Projekt wurde 2014 eingestellt; die ältere Abspaltung blieb jedoch unter dem Namen Popcorn Time im Umlauf.

Auch nachdem Nutzer:innen die App nicht mehr öffneten, konnte ihr Updater weiterlaufen. Unter macOS startete die privilegierte Hilfskomponente PT.updd automatisch beim Hochfahren. Sie kommunizierte über unverschlüsselte HTTP-Verbindungen und installierte heruntergeladenen Code, ohne dessen digitale Signatur zu prüfen. Auf dem Mac lief dieser Code mit Root-Rechten und damit mit weitreichendem Systemzugriff.

Eye Research stieß auf den Updater, als ein Gerät eines Kunden eine aufgegebene Domain kontaktierte. Die Forschenden registrierten die Domain und zählten rund 50 Anfragen pro Sekunde. Wer eine der alten Update-Domains kontrollierte oder den Netzwerkverkehr manipulierte, hätte den Mechanismus möglicherweise für Schadcode nutzen können. Die Schwachstelle erhielt die Kennung CVE-2026-30612. Eye Research konnte jedoch nicht feststellen, dass Kriminelle sie bereits ausgenutzt hatten.

Die Zahl betroffener Macs ließ sich nur schätzen. Zunächst erfassten die Forschenden rund 1,7 Millionen eindeutige Kennungen. Änderungen am Computernamen oder an Netzwerkadressen konnten dasselbe Gerät jedoch mehrfach erscheinen lassen. Eye Research korrigierte die Schätzung deshalb auf 250.000 bis 350.000 Macs. Für Windows-PCs nannte die Firma 2,5 bis 3 Millionen Kontakte mit der betroffenen Update-Infrastruktur; auch das ist keine bestätigte Zahl einzelner Geräte.

Forschende schalteten den Dienst ab

Da es keine offiziellen Entwickler:innen und keinen verfügbaren Patch gab, erstellte Eye Research ein kleines Update. Es stoppte auf dem Mac den Startdienst, der PT.updd ausführte. Die Maßnahme entfernte die App nicht und sollte andere Dateien und Programme unangetastet lassen.

Das Einspielen von Code auf fremden Geräten ohne ausdrückliche Zustimmung warf rechtliche und ethische Fragen auf. Eye Research erklärte, das Unternehmen habe juristischen Rat eingeholt und die Maßnahme umfassend getestet. Unter Windows erkannten zunächst elf Sicherheitsanbieter das Reparaturprogramm als schädlich, weil es einen bestehenden Dienst abschaltete. Daraufhin passten die Forschenden den Code an.

Bis Dezember 2025 war das Update laut Eye Research auf mehr als einer Million Systemen gelandet. Insgesamt wurden über zwei Millionen Downloads verteilt. Daraus lässt sich weder die Zahl einzigartiger Geräte noch die Zahl erfolgreicher Reparaturen ableiten. Am 1. März 2026 wurden demnach noch etwa 5.000 Updates täglich ausgeliefert – 98 Prozent weniger als zuvor. Ende März übergab Eye Research 15 kontrollierte Domains an die gemeinnützige Shadowserver Foundation. Nicht alle Domains der alten Software waren erreichbar, daher erhielten möglicherweise nicht alle gefährdeten Macs die Reparatur.

Warum Nutzer:innen die App entfernen sollten

Das Abschalten des Updaters beseitigte nicht die weiteren Schwachstellen der App. Time4Popcorn verwendet eine Browser-Engine aus dem Jahr 2014 und hat deren Sicherheits-Sandbox deaktiviert. Zudem lädt die Software JavaScript über unverschlüsselte Verbindungen von Domains, die ihre ursprünglichen Betreiber:innen nicht mehr warten. Eye Research demonstrierte, dass schädliches JavaScript unter Windows Programme starten kann, zeigte diesen Angriff aber nicht für macOS.

Eye Research empfiehlt Nutzer:innen, Time4Popcorn vollständig zu entfernen. Das Löschen der App aus dem Programme-Ordner beseitigt Hintergrunddienste nicht zwingend. Im Finder führt der Weg über „Gehe zu“ und „Gehe zum Ordner“ zu /Library/PrivilegedHelperTools/. Dort lässt sich prüfen, ob die Datei PT.updd vorhanden ist. Der zugehörige Startdienst liegt unter /Library/LaunchDaemons/PT.updd.plist. Die Sicherheitsmitteilung von Eye Research enthält den Terminal-Befehl zum Deaktivieren.

Haltet außerdem macOS aktuell und nutzt die eingebauten Schutzfunktionen des Systems. Betriebssystem-Updates schließen allerdings keine Sicherheitslücken in aufgegebener Software. Der Bericht betrifft die ältere Time4Popcorn-Abspaltung, nicht ein separates Projekt, das den Namen Popcorn Time 2025 übernahm.

Via: https://appleinsider.com

Den Beitrag in unserem Forum kommentieren