Eye Security／Hack.lu：Operation IXIM 以善意更新關閉 Time4Popcorn 更新器——CVE-2026-30612 可致 SYSTEM／root；逾二百萬台已停用；Shadowserver 接管域名

重點摘要

荷蘭資安公司 Eye Security 於二零二六年十月二十二日在 Hack.lu 公開「Operation IXIM」：針對已棄用的 Time4Popcorn（亦以 Popcorn Time 名義流傳）不安全更新器 CVE-2026-30612，以善意更新在逾二百萬台電腦停用背景更新服務；之後把相關域名移交 Shadowserver 沉洞。來源真實性已核對 Eye Research、CVE 紀錄、Hack.lu 議程與 BleepingComputer／The Hacker News 交叉報道。

Eye Security／Hack.lu：Operation IXIM 以善意更新關閉 Time4Popcorn 更新器——CVE-2026-30612 可致 SYSTEM／root；逾二百萬台已停用；Shadowserver 接管域名

荷蘭資安公司 Eye Security 於二零二六年十月二十二日在 Hack.lu 公開「Operation IXIM」：針對已棄用的 Time4Popcorn（亦以 Popcorn Time 名義流傳）不安全更新器 CVE-2026-30612，以善意更新在逾二百萬台電腦停用背景更新服務；之後把相關域名移交 Shadowserver 沉洞。來源真實性已核對 Eye Research、CVE 紀錄、Hack.lu 議程與 BleepingComputer／The Hacker News 交叉報道。

Eye Security／Hack.lu：Operation IXIM 以善意更新關閉 Time4Popcorn 更新器——CVE-2026-30612 可致 SYSTEM／root；逾二百萬台已停用；Shadowserver 接管域名

棄用多年的盜版串流客戶端分叉 Time4Popcorn，其背景更新器仍以明文 HTTP 拉取「更新」且不驗證簽章，任何人只要註冊已過期的更新域名，即可在 Windows 以 SYSTEM、在 macOS 以 root 權限遠端執行程式。Eye Security 於客戶網絡威脅狩獵中發現此更新器後，註冊域名觀測流量，並在取得法律意見後展開 Operation IXIM：二零二五年十一月至二零二六年三月以善意更新停用更新器，其後於 Hack.lu 披露完整過程。本文已核對 Eye Research 技術說明、CVE-2026-30612、Hack.lu 議程，以及 BleepingComputer、The Hacker News 對 remediation 數字與後續域名狀態的報道。

一、核心事件：棄用軟體留下的「永遠在線」更新通道

技術細節

Time4Popcorn 是舊版 Popcorn Time 的分叉，介面仿串流服務、底層以 BitTorrent 取片。原專案多年前停運後，多個分叉仍以相近名稱流傳；Eye 特別澄清：自二零二五年初起另有以 Popcorn Time 名義重建的合法串流專案，與本次研究無關。

漏洞 CVE-2026-30612 影響：

  • Windows：版本至 6.2.1.18（含）
  • macOS：版本至 6.2.1.17（含）
  • Android：版本至 3.5.0.173（含）

Windows 上更新器以名為「Update service」的服務啟動，典型路徑為 C:\Program Files (x86)\Popcorn Time\Updater.exe 或 C:\Program Files\Popcorn Time\Updater.exe；開機即跑、週期輪詢。macOS 上則以特權輔助工具 /Library/PrivilegedHelperTools/PT.updd 搭配 LaunchDaemon。通訊走不安全通道，收到的執行檔不驗證數位簽章；攻擊者若能控制更新流量，即可無互動地植入任意程式。美國 CISA 將該 CVE 評為 9.8（滿分 10）。Android 則需用戶點選才會安裝 APK，風險形態不同。

二、技術原理：域名過期等於把遠端殼交給下一位註冊者

傳統軟體更新依賴 TLS 與簽章鏈；Time4Popcorn 更新器卻把信任押在「誰擁有那個過期域名」。Eye 在例行狩獵中看到客戶筆電上的 Updater.exe 不斷連往已無人持有的網址，於是自行註冊觀測：流量立刻湧入，約每秒五十次請求。六個月內觀測到逾三百八十萬個不同硬體識別碼；因識別碼在 Windows 可共用、在 Mac 會變更，Eye 修正估計為約二百五十萬至三百萬台 Windows、約二十五萬至三十五萬台 Mac。樣本連線來源涵蓋家用寬頻，亦見政府、軍方與企業網絡——多數裝置似乎早忘了這款 App，更新器卻仍在背景待命。

這正是「harvest the channel, not the bug」：無需攻破應用本身，只要接管更新基礎設施，即可規模化取得最高權限。若落在惡意方手中，可部署勒索、竊密或組成殭屍網絡。Eye 於二零二六年六月公開漏洞說明，並提供手動停用指令；由於原廠已棄用、無官方修補，研究團隊決定「以更新器反制更新器」。

三、Operation IXIM：善意更新、防毒誤報與域名移交

在取得法律意見後，Eye 下發的更新只做一件事：停止並停用更新服務，不刪檔、不蒐集主機遙測。團隊把做法類比二零二一年荷蘭警方對 Emotet 的 Operation Ladybird，同時強調差異——Emotet 受害者並未主動安裝惡意軟體，而 Popcorn Time 用戶曾自行安裝，但「沒有人選擇讓被遺忘的更新器在背景跑上多年」。

過程中有人把 Eye 的更新上傳至 VirusTotal，防毒產品將「停用 Windows 服務」的行為標為惡意，反而使易受攻擊的更新器繼續運行；Eye 只好調整酬載直至足以繞過誤報。據 The Hacker News 整理：至二零二五年十二月已更新逾一百萬台、流量約降九成；至二零二六年三月一日每日約五千次更新、較高峰約降百分之九十八，累計推送逾二百萬次後停止。三月下旬，Eye 把其控制的十五個網址移交非牟利組織 Shadowserver Foundation 沉洞；公開註冊紀錄顯示 popcorntimeupd.xyz 等域名於二零二六年三月二十日轉移。The Hacker News 於十月二十六日覆核時稱，Eye 列出的二十個域名中已有十七個指向 Shadowserver；其餘少數仍在第三方或未設位址。截至十月二十三日，該 CVE 尚未列入 CISA 已知被利用漏洞目錄，Eye 亦未發現其他方已透過這些域名大規模下發惡意更新。

研究團隊警告：關閉更新器並不代表 App 安全——它仍使用二零一四年 Chrome 引擎、關閉沙箱、明文載入內容，並會連往其他已棄用網域；Eye 對部分網域建過概念驗證，證明開啟 App 本身仍可被遠端利用。建議是徹底移除軟體。Android 無法遠端停用更新器，只能卸載。防禦方可在網絡中搜尋 Updater.exe／PT.updd 及 Eye 文中列出的域名與雜湊。

四、日常應用場景

1. 開發者與技術團隊

檢查端點與映像是否殘留棄用客戶端；把「更新通道的供應鏈信任」納入威脅模型——明文、無簽章、域名生命週期與程式生命週期脫鉤，都是紅旗。

2. 企業與隱私敏感行業

企業、政府網絡仍可能有員工多年前安裝的影音工具。應以 EDR／資產清點搜尋上述二進位與域名流量，並把「影子 IT 棄用軟體」納入定期清理。對香港金融、法律與醫療等對端點完整性要求高的行業尤為直接。

3. 一般用戶

若曾安裝任何名為 Popcorn Time／Time4Popcorn 的舊客戶端，應直接卸載。Windows 可暫以 sc.exe stop "Update service" 與 sc.exe config "Update service" start= disabled 停用；macOS 可用 launchctl unload -w /Library/LaunchDaemons/PT.updd.plist；長期仍以移除為準。

4. 香港與亞洲市場視角

香港企業普遍混用 Windows／macOS 筆電與自攜裝置；棄用軟體的更新器很少出現在正式軟件清單，卻能以最高權限常駐。結合本地對勒索與供應鏈攻擊的戒心，端點衛生與域名沉洞協作（如 Shadowserver）值得納入資安演練劇本。

五、專業評價與潛在考量

優勢

  • 將「善意更新」限定在停用危險服務，並公開法律與倫理取捨，透明度高。
  • 與 Shadowserver 銜接，避免研究機構長期持有可武器化的域名。
  • 提供可操作的手動緩解與網絡狩獵指標。

需要留意的地方

  • 防毒誤報曾阻礙 remediation，顯示「防禦產品 vs. 防禦行動」的張力。
  • 部分更新域名並未完全落入沉洞；Android 與 App 本體風險仍在。
  • 對用戶裝置遠端變更設定屬極端手段，難以常態化複製，不能取代廠商責任與官方修補。

結語

Operation IXIM 提醒業界：軟體可以棄用，更新通道卻可能永遠在線。當簽章與傳輸安全缺位，過期域名就等於把 SYSTEM／root 殼交給下一位註冊者。香港企業若要收緊端點與雲端邊界，可參考 YSK Limited 的雲端遷移與網絡安全服務（刊載百分之九十九點九九 SLA）：https://ysk.hk/services/cloud-security

參考來源

延伸閱讀 · 相關服務與產品

相關文章