Popcorn Time war durch eine Netflix-ähnliche Oberfläche bekannt geworden, die BitTorrent-Downloads einband und den Konsum illegaler Inhalte direkt in der App ermöglichte. Das Projekt wurde aus rechtlichen Gründen eingestellt und später als legitime Streaming-App neu aufgelegt. Unter dem Namen Popcorn Time entstanden jedoch Forks wie Time4Popcorn, die rasch Millionen Nutzer fanden.
Die Forscher stießen auf das Risiko, nachdem sie die Domain popcorntimeupd.xyz registriert hatten. Dort beobachteten sie Verbindungen von bis zu 3 Millionen Windows- und 350.000 macOS-Clients – aus Privatkundennetzen ebenso wie aus Unternehmens-, Behörden- und Militärnetzwerken. Aktiv genutzt wurde die App offenbar von niemandem; sie war installiert und vergessen worden.
„Wenn wir in der Lage wären, ein Update zu verschicken, könnten wir möglicherweise Codeausführung auf Millionen von Systemen erreichen“, erklärt Eye Security und ergänzt, die Auswirkungen wären gravierend, falls dies in die falschen Hände geriete. Im Anschluss registrierten die Forscher 14 weitere Domains, die zu dem Dienst gehören.
Zwischen November 2025 und März 2026 nutzte Eye Security den verwundbaren Update-Mechanismus, um Code auszuliefern, der den Updater stoppte und deaktivierte. Die Nutzlast sammelte weder Host-Daten noch Telemetrie und löschte keine Dateien auf den Rechnern der Nutzer – nach Darstellung des Unternehmens blieb das Vorgehen damit vollständig im rechtlichen Rahmen. Während der Tests musste die Nutzlast angepasst werden, weil Antivirenprodukte sie wegen der Deaktivierung eines Dienstes als verdächtig einstuften.
Nach dem Ausrollen der Gegenmaßnahme zählte Eye Security 2 Millionen Update-Downloads; bis zum 1. März dieses Jahres gingen die Anfragen an die Update-Domain um 98 Prozent zurück. Nach Abschluss der Aktion wurde die Domain an die gemeinnützige Sicherheitsorganisation The Shadowserver Foundation übergeben.
Vollständig beseitigt ist das Risiko damit nicht. Android-Nutzer bleiben gefährdet: Dort hätte die Installation eines Updates eine Interaktion der Nutzer erfordert, sodass der Updater auf der mobilen Plattform nicht aus der Ferne abgeschaltet werden konnte. Zudem setzt Time4Popcorn auf eine stark veraltete Chrome-Engine aus dem Jahr 2014 ohne Sandbox-Schutz, die für Angriffe ausgenutzt werden könnte. Als beste Maßnahme empfehlen die Forscher, die Software vollständig von den Systemen zu entfernen.