Kdo si kdysi nainstaloval Popcorn Time ve verzi Time4Popcorn, může mít na Macu dodnes aktivní aktualizátor, který po každém startu hledá aktualizace a stažený kód může spustit s nejvyššími právy. Výzkumníci Eye Security ho na většině Maců, které se jim ozvaly, vzdáleně vypnuli. Samotná aplikace ale zůstává nebezpečná. Ukážeme, kde zbytky najdete a jak je odstranit.
Co se stalo
Bezpečnostní firma Eye Security a její výzkumný tým Eye Research zveřejnili ve čtvrtek 22. října podrobný popis operace IXIM, kterou téhož dne představili na konferenci hack.lu v Lucemburku. Týká se aplikace Time4Popcorn, jedné z neoficiálních odnoží kdysi populárního Popcorn Time. Aplikace sloužila ke sledování filmů streamovaných z torrentů a šířila se pod jménem Popcorn Time, takže řada lidí dodnes neví, kterou verzi si tehdy nainstalovala.
Hlavní riziko nepředstavovala samotná aplikace, kterou většina dotčených roky neotevřela, ale malý aktualizační pomocník. Na Macu se jmenuje PT.updd, spouští se automaticky po startu systému a běží nezávisle na aplikaci. Pravidelně se ptal několika domén, jestli nejsou k dispozici aktualizace. Jenže vývojáři projekt dávno opustili a domény postupně vypršely.
Výzkumníci si toho všimli při běžném hledání hrozeb u svých firemních klientů. Jednu z opuštěných domén zaregistrovali a do serveru jim začalo proudit zhruba 50 požadavků za sekundu. Zranitelnost dostala označení CVE-2026-30612 a záznam v databázi zranitelností jí přiřazuje skóre 9,8 z 10, tedy kritickou závažnost. Postižené jsou verze Time4Popcorn pro macOS do 6.2.1.17 a pro Windows do 6.2.1.18.
Proč to bylo tak nebezpečné
Aktualizátor komunikoval přes nešifrované HTTP a nekontroloval digitální podpis toho, co stáhl. Kdo ovládl některou z opuštěných domén, mohl mu podstrčit libovolný program. Na Macu se takový kód spustil s právy uživatele root, tedy s nejvyšším možným přístupem k systému. Podle výzkumníků stačilo i to, aby útočník dokázal manipulovat síťovým provozem, například v nezabezpečené Wi-Fi.
Eye Security upozorňuje, že by se takové počítače hodily provozovatelům botnetů, ransomwaru i malwaru na krádež hesel. Mezi ozývajícími se zařízeními byly domácí počítače z celého světa, ale i stroje z firemních, vládních a vojenských sítí. Podle MacRumors ale výzkumníci nenašli důkaz, že by mechanismus zneužili skuteční útočníci.
Kolik Maců bylo ohrožených
Za šest měsíců zaznamenali výzkumníci přes 3,8 milionu identifikátorů zařízení, z toho zhruba 45 % patřilo Macům. Původní odhad 1,7 milionu Maců se ukázal jako nadsazený: identifikátor se na macOS skládá mimo jiné z názvu počítače a hardwarových adres síťových rozhraní, které se mohou měnit, takže se tentýž Mac objevoval víckrát. Nejlepší odhad Eye Security je proto 250 až 350 tisíc Maců. U Windows firma odhaduje 2,5 až 3 miliony počítačů.
Výzkumníci aktualizátor vypnuli sami
Opravu neměl kdo vydat, protože autoři aplikace zmizeli. Eye Security se proto po konzultaci s právníky rozhodla k nezvyklému kroku: mezi listopadem 2025 a březnem 2026 sama posílala přes zranitelný mechanismus „aktualizaci“, která aktualizátor vypnula. Na Macu spouštěla jediný příkaz, který zastaví a deaktivuje službu spouštějící PT.updd při startu. Aplikaci ani jiné soubory nemazala.
Výsledky:
- v prosinci 2025 dostalo opravu přes milion systémů a počet požadavků klesl o 90 %
- 1. března 2026 šlo ještě asi 5 000 oprav denně, tedy o 98 % méně než na začátku
- celkem výzkumníci odeslali přes 2 miliony stažení opravy
- koncem března předali 15 domén, které vlastnili, neziskové organizaci Shadowserver Foundation
Server AppleInsider zdůrazňuje, že to nezaručuje opravu na každém Macu. Některé domény dál vlastní třetí strany a 2 miliony stažení neznamenají 2 miliony různých počítačů.
Samotná aplikace zůstává děravá
Vypnutí aktualizátoru řeší jen polovinu problému. Time4Popcorn stojí na jádru prohlížeče Chrome z roku 2014 s vypnutým sandboxem a JavaScript načítá přes nešifrované spojení z domén, které autoři opustili. Výzkumníci na Windows předvedli, že takový JavaScript dokáže spustit program. Jejich rada platí pro obě platformy stejně: aplikaci úplně odinstalujte.
Na legální projekt, který název Popcorn Time používá od roku 2025, se zjištění nevztahují.
Jak zjistit, jestli máte aktualizátor na Macu
Přetažení aplikace ze složky Aplikace do koše nemusí stačit, pomocné služby na pozadí tím nezmizí. Kontrola zabere minutu:
- Ve Finderu vyberte v řádku nabídek Otevřít > Otevřít složku, zadejte
/Library/PrivilegedHelperTools/a podívejte se, jestli tam je souborPT.updd. - Stejným způsobem otevřete
/Library/LaunchDaemons/a hledejte souborPT.updd.plist. Ten zajišťuje spouštění aktualizátoru po startu. - Jestli aktualizátor právě běží, ukáže Monitor aktivity: v nabídce Zobrazení zvolte Všechny procesy a do pole hledání zadejte
PT.updd. Proces se podle Eye Security jmenuje stejně jako soubor.
Pokud ani jeden soubor nenajdete a v Monitoru aktivity se proces neobjeví, aktualizátor Time4Popcorn na Macu s velkou pravděpodobností nemáte.
Jak zbytky odstranit
Pokud soubory najdete, nejdřív aktualizátor vypněte. Eye Security k tomu ve svém bezpečnostním upozornění uvádí příkaz pro Terminál. Jde o systémovou službu, proto ho zadejte s předponou sudo a potvrďte heslem správce Macu:
sudo launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
Podle výzkumníků by potom proces PT.updd neměl běžet a po restartu se už sám nespustí. Ověřit to můžete znovu v Monitoru aktivity.
Vypnutím ale soubory z disku nezmizí. Eye Security doporučuje výrobcům bezpečnostních programů, aby PT.updd označovali jako potenciálně nežádoucí program a ze systémů ho odstraňovali. Kdo chce mít Mac čistý, může po vypnutí smazat ve Finderu oba soubory, PT.updd i PT.updd.plist. Finder vás při tom může požádat o heslo správce. Nejdůležitější rada výzkumníků ale zní: odinstalujte i samotnou aplikaci Popcorn Time, pokud ji ještě máte.
Aktualizace macOS tentokrát nepomůže
Kompromitované certifikáty eMudhra Apple blokuje sám a uživatelé nemusejí nic dělat. O podobném kroku Applu u Time4Popcorn zatím nic nevíme, kontrola je proto na vás. AppleInsider připomíná, že aktuální macOS a vestavěná ochrana proti malwaru jsou dobrý základ, ale aktualizace systému neopraví chyby v opuštěné aplikaci jiného vývojáře. Udržovat systém aktuální má smysl i tak. Pokud váháte s přechodem, pomůže rozbor, jestli aktualizovat na macOS 27.
Jak obecně hledat zapomenuté procesy na pozadí
Popcorn Time není výjimka. Řada aplikací si instaluje pomocníky, kteří kontrolují aktualizace nebo synchronizují data, i když aplikaci zrovna nepoužíváte. Velkou část z nich najdete v nastavení: vyberte nabídku Apple > Nastavení systému, na bočním panelu klikněte na Obecné a potom na Aktivace položek a rozšíření při přihlášení. Sekce Otevřít při přihlášení ukazuje, co se spouští po přihlášení. V sekci Aktivita aplikací na pozadí jsou aplikace, které smějí pracovat, i když nejsou otevřené. Úplný přehled to být nemusí, proto u starého softwaru pomůže i pohled do složky /Library/LaunchDaemons/, kde měl svůj spouštěcí soubor i Time4Popcorn.
Když v nastavení najdete položku aplikace, kterou už nemáte nebo neznáte, vypněte ji. I zapomenutý software může být bezpečnostní riziko, podobně jako podvodný instalátor, o kterém jsme psali u falešného Zoomu pro Mac. Rozdíl je v tom, že o něm nevíte.
Závěr
Případ Time4Popcorn ukazuje, že odinstalovaná aplikace nemusí z Macu zmizet celá. Největší hrozbu výzkumníci Eye Security u velké části počítačů zažehnali. Jistotu ale dává jen vlastní kontrola dvou složek. Kdo Popcorn Time někdy používal, ať aktualizátor vypne, soubory PT.updd a PT.updd.plist smaže a aplikaci odinstaluje.
