یک نسخه رهاشده Popcorn Time میلیون‌ها دستگاه را در معرض اجرای کد گذاشت

یک شاخه رهاشده از نرم‌افزار Popcorn Time سال‌ها پس از توقف توسعه، هنوز روی میلیون‌ها رایانه با یک به‌روزرسان ناامن در حال تماس بود؛ سازوکاری که می‌توانست به مهاجم امکان دهد روی ویندوز با سطح دسترسی SYSTEM و روی macOS با دسترسی root کد اجرا کند. این نقص با شناسه CVE-2026-30612 ثبت شده و به نسخه‌ای موسوم به Time4Popcorn مربوط است، نه هر نرم‌افزار یا وب‌سایتی که نام Popcorn Time را به کار می‌برد.

گزارش‌های تازه BleepingComputer و The Verge هر دو بر پژوهش یک تیم امنیتی تکیه دارند؛ بنابراین آنها دو تأیید مستقل از دو تحقیق جداگانه نیستند. با این حال، جزئیات فنی و ارقام گزارش‌شده تصویر روشنی از مسئله می‌دهند: یک سرویس به‌روزرسان پس از رهاشدن پروژه، به دامنه‌هایی متصل می‌شد که دیگر زیر کنترل سازنده نبودند، ارتباط را با HTTP رمزنگاری‌نشده انجام می‌داد و فایل اجرایی را بدون بررسی امضای دیجیتال می‌پذیرفت.

نقص دقیقاً کجا بود؟

به‌روزرسان نرم‌افزار باید بتواند ثابت کند فایلی که دریافت می‌کند واقعاً از ناشر معتبر آمده و در مسیر دستکاری نشده است. در Time4Popcorn این زنجیره اعتماد شکسته بود: برنامه به دامنه‌ای رهاشده با نام popcorntimeupd.xyz مراجعه می‌کرد، انتقال از مسیر HTTP انجام می‌شد و امضای دیجیتال فایل اجرایی نیز کنترل نمی‌شد. در چنین وضعی، کنترل دامنه یا دستکاری ترافیک در میانه راه می‌توانست برای جایگزین‌کردن بسته به‌روزرسان کافی باشد.

خطر فقط اجرای یک برنامه با سطح دسترسی معمول کاربر نبود. بر اساس گزارش BleepingComputer، کد روی ویندوز می‌توانست با مجوز SYSTEM و روی macOS با مجوز root اجرا شود. این دو سطح دسترسی عملاً اختیار گسترده‌ای بر دستگاه می‌دهند. به همین دلیل، نقص صرفاً یک اشکال در پخش ویدیو یا ازکارافتادن برنامه نبود؛ کانال به‌روزرسان می‌توانست به مسیر نصب کد دلخواه تبدیل شود.

این آسیب‌پذیری به معنای هک‌شدن همه دستگاه‌ها نیست. گزارش‌های منتشرشده از «امکان» اجرای کد و بزرگی سطح در معرض خطر صحبت می‌کنند، نه اثبات بهره‌برداری مجرمانه در همه اتصال‌های مشاهده‌شده. تفکیک این دو نکته مهم است: وجود مسیر فنی برای حمله جدی است، اما از آن نمی‌توان نتیجه گرفت میلیون‌ها رایانه حتماً آلوده شده‌اند.

میلیون‌ها اتصال، نه لزوماً میلیون‌ها کاربر فعال

پژوهشگران پس از ثبت دامنه رهاشده، تا حدود ۳ میلیون اتصال از کلاینت‌های ویندوز و ۳۵۰ هزار اتصال از دستگاه‌های macOS مشاهده کردند. اتصال‌ها از شبکه‌های خانگی و همچنین شبکه‌های شرکتی، دولتی و نظامی می‌آمدند. با این حال، رفتار دیده‌شده نشان نمی‌داد کاربران الزاماً هنوز خود برنامه را فعالانه اجرا می‌کنند؛ محتمل است نرم‌افزار سال‌ها پیش نصب شده و سرویس به‌روزرسان آن در پس‌زمینه باقی مانده باشد.

بنابراین عبارت «میلیون‌ها دستگاه در معرض خطر» از تعداد کلاینت‌هایی می‌آید که با زیرساخت به‌روزرسان تماس گرفته‌اند. این عدد با شمار کاربران فعال، تعداد نصب‌های منحصربه‌فرد در یک لحظه یا تعداد دستگاه‌های واقعاً نفوذشده یکسان نیست. همچنین اتصال‌های تکراری یک دستگاه می‌تواند اندازه‌گیری را پیچیده کند؛ منابع خوانده‌شده روش دقیق حذف اتصال‌های تکراری را توضیح نداده‌اند.

همین الگو یکی از خطرهای نرم‌افزار رهاشده را نشان می‌دهد: حذف آیکون از دسکتاپ یا فراموش‌کردن برنامه، لزوماً سرویس‌های پس‌زمینه آن را متوقف نمی‌کند. اگر سازنده دامنه، گواهی یا زیرساختی را که نرم‌افزار به آن اعتماد می‌کند رها کند، آن دارایی می‌تواند بعداً به نقطه ورود تبدیل شود.

پژوهشگران چگونه مسیر حمله را بستند؟

طبق گزارش‌ها، تیم Eye Security ابتدا دامنه آسیب‌پذیر و سپس ۱۴ دامنه دیگر مرتبط با سرویس را ثبت کرد. این گروه بین نوامبر ۲۰۲۵ تا مارس ۲۰۲۶ از همان کانال به‌روزرسان برای فرستادن کدی استفاده کرد که سرویس آسیب‌پذیر را متوقف و غیرفعال می‌کرد. در ویندوز، سرویس از طریق Service Control Manager متوقف شد و در macOS یک فرمان مانع اجرای دوباره فرایند به‌روزرسان می‌شد.

گزارش BleepingComputer می‌گوید این بسته اطلاعات میزبان یا داده تله‌متری جمع نکرد و فایلی از رایانه کاربران حذف نکرد. هدف آن محدود به خاموش‌کردن به‌روزرسانی بود که دیگر کارکرد مفیدی نداشت و فقط ریسک ایجاد می‌کرد. با این حال، این اقدام نمونه‌ای غیرمعمول از مداخله دفاعی از راه دور است؛ همان ویژگی فنی که می‌توانست برای حمله استفاده شود، این بار برای کاهش خطر به کار رفت.

سامانه‌های ضدبدافزار در بخشی از فرایند، بسته دفاعی را به‌دلیل تلاش برای غیرفعال‌کردن یک سرویس مشکوک تشخیص دادند. پژوهشگران ناچار شدند بسته را تغییر دهند تا متوقف‌شدن آن، دستگاه را با به‌روزرسان آسیب‌پذیر فعال رها نکند. تا پایان عملیات بیش از ۲ میلیون دانلود بسته اصلاحی ثبت شد و تا اول مارس، درخواست‌ها به دامنه به‌روزرسان ۹۸ درصد کاهش یافت. پس از آن، کنترل دامنه‌ها به بنیاد غیرانتفاعی Shadowserver منتقل شد.

چرا خطر کاملاً تمام نشده است؟

کاهش ۹۸ درصدی درخواست‌ها به معنای حذف کامل ریسک نیست. نخست، نسخه اندروید همچنان مسئله دارد؛ نصب بسته تازه در آن پلتفرم به تعامل کاربر نیاز داشت و پژوهشگران نتوانستند به‌روزرسان را از راه دور مانند ویندوز و macOS غیرفعال کنند. دوم، خود برنامه از موتور بسیار قدیمی Chrome متعلق به سال ۲۰۱۴ استفاده می‌کند و محافظت sandbox آن نیز کافی نیست. در نتیجه حتی پس از خاموش‌شدن کانال به‌روزرسان، اجزای منسوخ نرم‌افزار می‌توانند مسیرهای حمله دیگری داشته باشند.

اقدام دفاعی همچنین برنامه اصلی را به نرم‌افزاری امن و پشتیبانی‌شده تبدیل نکرده است. این عملیات فقط یک مسیر مشخص را بست. هیچ وصله جامع، تیم نگهداری فعال یا چرخه انتشار قابل اتکایی برای Time4Popcorn معرفی نشده و منابع نیز توصیه می‌کنند نرم‌افزار به‌طور کامل حذف شود.

کاربر چه کاری باید انجام دهد؟

اگر Time4Popcorn یا یکی از شاخه‌های قدیمی Popcorn Time هنوز روی دستگاه نصب است، اقدام کم‌ریسک حذف کامل نرم‌افزار و بررسی باقی‌ماندن سرویس‌ها و مؤلفه‌های آن است. در ویندوز و macOS، صرف بسته‌بودن پنجره برنامه اثبات نمی‌کند سرویس به‌روزرسان دیگر اجرا نمی‌شود. کاربران سازمانی نیز بهتر است موجودی نرم‌افزارها و سرویس‌های نصب‌شده را بررسی کنند، زیرا گزارش‌ها اتصال از شبکه‌های سازمانی و دولتی را نیز ثبت کرده‌اند.

این خبر مجوزی برای دانلود ابزارهای ناشناس موسوم به «پاک‌کننده Popcorn Time» نیست. جست‌وجوی راه‌حل در سایت‌های نامعتبر می‌تواند خطر تازه‌ای ایجاد کند. حذف باید از مسیرهای استاندارد سیستم‌عامل و ابزارهای مدیریتی معتبر انجام شود و پس از آن، یک اسکن امنیتی با محصول به‌روز می‌تواند برای یافتن مؤلفه‌های باقی‌مانده مفید باشد.

برای مدیران فناوری، درس گسترده‌تر فقط درباره یک برنامه پخش غیررسمی نیست. نرم‌افزاری که سال‌ها به‌روزرسانی نشده، دامنه‌هایش منقضی شده یا سازنده‌اش پاسخ‌گو نیست باید به‌عنوان بدهی امنیتی در نظر گرفته شود. فهرست دارایی‌ها، حذف سرویس‌های بلااستفاده، کنترل ارتباط‌های خروجی و الزام امضای دیجیتال برای به‌روزرسان‌ها می‌تواند چنین ریسک‌هایی را پیش از آنکه یک دامنه رهاشده به دروازه اجرا تبدیل شود کاهش دهد.

آنچه هنوز نمی‌دانیم

منابع خوانده‌شده شواهدی از بهره‌برداری گسترده مجرمانه ارائه نکرده‌اند و تعداد دقیق دستگاه‌هایی که بسته اصلاحی را دریافت کردند با تعداد دستگاه‌های منحصربه‌فردِ در معرض خطر یکی نیست. همچنین روشن نیست چه تعداد نصب اندروید هنوز فعال مانده یا چه سهمی از رایانه‌ها نسخه‌ای متفاوت از شاخه آسیب‌پذیر دارند. بنابراین هشدار اصلی مشخص است، اما نباید اعداد اتصال را به تعداد قربانیان قطعی تبدیل کرد.

تحول تازه، کشف صرف یک باگ قدیمی نیست؛ انتشار عمومی جزئیات عملیاتی است که طی آن یک به‌روزرسان رهاشده از یک خطر بالقوه در مقیاس وسیع به سرویسی عمدتاً خاموش تبدیل شد. بااین‌حال، باقی‌ماندن نسخه اندروید و موتور مرورگر منسوخ نشان می‌دهد راه‌حل پایدار برای کاربر، نگه‌داشتن برنامه و امید به ادامه حفاظت شخص ثالث نیست، بلکه حذف نرم‌افزار بدون پشتیبانی است.