Ne plus ouvrir une application ne veut pas toujours dire qu’elle ne fonctionne plus. Des utilisateurs de Time4Popcorn, un ancien dérivé de Popcorn Time, conservaient un programme de mise à jour actif en arrière-plan après avoir oublié le logiciel. Des chercheurs ont découvert que ce mécanisme pouvait recevoir du code extérieur avec des privilèges très élevés sur Windows et macOS.
Eye Security a publié le récit détaillé de son opération IXIM le 22 octobre, lors de la conférence Hack.lu au Luxembourg. L’intervention elle-même s’est déroulée entre novembre 2025 et mars 2026. La faille avait déjà fait l’objet d’un avis en juin : il ne s’agit ni d’une attaque née ce week-end, ni d’une nouvelle vague d’infections démontrée aujourd’hui.
Le logiciel attendait des mises à jour sur des domaines abandonnés
L’enquête est partie d’un ordinateur sur lequel un processus nommé Updater.exe cherchait à joindre une adresse Internet qui n’était plus enregistrée. En récupérant ce domaine, les chercheurs ont vu arriver des requêtes de nombreux appareils. Certains appartenaient à des personnes qui n’utilisaient plus activement l’application.
Le défaut combinait plusieurs problèmes : communications de mise à jour en HTTP non chiffré, absence de vérification de signature des exécutables et confiance accordée aux réponses des anciens serveurs. Contrôler le bon domaine, ou pouvoir manipuler le trafic concerné, pouvait suffire à présenter une mise à jour malveillante.
Sur Windows, le composant exécutait le programme reçu avec les privilèges SYSTEM ; sur Mac, il pouvait l’exécuter en root. Ces niveaux d’accès sont beaucoup plus puissants que ceux d’une simple page web ouverte dans un navigateur. Le risque venait donc du canal de mise à jour, même sans nouvelle séance de streaming.
Deux millions de téléchargements ne représentent pas deux millions de victimes piratées
Dans son compte rendu original, Eye explique avoir utilisé ce mécanisme pour distribuer une opération de neutralisation : arrêter puis désactiver l’outil de mise à jour. Le cabinet affirme n’avoir ni collecté de données sur les machines ni supprimé leurs fichiers au cours de cette intervention.
Plus de deux millions de téléchargements de cette mise à jour ont été enregistrés. Ce total ne prouve pas que deux millions de personnes avaient auparavant été compromises par des criminels. Il ne donne pas non plus un décompte exact de machines uniques : l’enquête a justement montré que les identifiants matériels utilisés par le logiciel pouvaient être dupliqués ou changer.
Les chercheurs estiment avoir rencontré de l’ordre de 2,5 à 3 millions de systèmes Windows et de 250 000 à 350 000 Mac. Ce sont des estimations d’exposition. Elles ne doivent pas être transformées en nombre de rançongiciels installés, de mots de passe volés ou de victimes effectivement attaquées.
Sur Android, l’installation d’un APK demandait une action
La faille, référencée CVE-2026-30612, touche aussi une version Android du logiciel. Son comportement diffère cependant de celui des composants de bureau : la recherche de mise à jour intervient à l’ouverture et l’utilisateur doit accepter l’installation de l’APK proposé. Le scénario automatique de Windows ou de macOS ne doit donc pas être transposé tel quel au téléphone.
Cette différence a aussi limité l’intervention des chercheurs sur Android. Désactiver à distance le service de mise à jour d’un PC et faire installer une application mobile sont deux opérations différentes. Le récit d’IXIM ne permet pas de considérer que tous les anciens utilisateurs mobiles sont protégés.
Il faut identifier le bon Popcorn Time avant d’agir
L’avis de sécurité d’Eye recommande de retirer complètement l’ancien logiciel abandonné. Sur Windows, il précise que le service concerné s’appelle « Update Service » et que son exécutable se trouve généralement dans un dossier Popcorn Time de Program Files. Le nom générique du service, pris isolément, ne suffit pas à identifier le programme : son emplacement compte.
Le nouveau projet légal qui a repris le nom Popcorn Time depuis 2025 n’est pas visé par cette recherche. Il faut donc vérifier quelle application est réellement installée, plutôt que condamner tous les logiciels portant un nom semblable.
Enfin, neutraliser le mécanisme de mise à jour ne remet pas à niveau l’application elle-même. Les chercheurs signalent notamment un moteur de navigateur ancien dans le logiciel abandonné. Si Time4Popcorn est encore présent sur une machine, sa suppression traite ce reste d’installation plus complètement que le seul arrêt de son updater.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
