Gammel Popcorn Time-app gjorde op til 350.000 Macs sårbare

Har du installeret Popcorn Time på din Mac for flere år siden, kan en del af programmet stadig køre i baggrunden. Sikkerhedsfirmaet Eye Research har fundet ud af, at Time4Popcorn, en uofficiel udgave af den tidligere populære streamingapp, efterlod en lille opdateringstjeneste. Den startede, hver gang Macen blev tændt, og kørte med fulde administratorrettigheder. Ifølge firmaet drejer det sig om 250.000 til 350.000 Macs på verdensplan.

Tjenesten kan du selv finde og slå fra på få minutter. Fremgangsmåden står længere nede i artiklen.

Udløbne domæner kunne overtages

Time4Popcorn er en videreførelse af Popcorn Time, som fortsatte under det samme navn, efter at det oprindelige projekt lukkede i 2014. Udviklerne har for længst opgivet projektet, men opdateringstjenesten er blevet ved med at køre. Den hentede opdateringer over ukrypteret HTTP, og de var ikke kodesigneret. Bagefter kørte de som root, skriver Eye Research i rapporten om Operation IXIM.

Problemet var, at de domæner, tjenesten hentede opdateringer fra, var ved at udløbe. Den, der registrerede et af dem, kunne sende skadelig software direkte ud til alle de computere, der stadig havde tjenesten kørende. Sårbarheden har fået betegnelsen CVE-2026-30612. Ifølge MacRumors har forskerne ikke fundet tegn på, at kriminelle nåede at udnytte den.

Forskerne slog selv tjenesten fra

Eye Research overtog nogle af de forladte domæner. Da der ikke var nogen udvikler til at lave en rettelse, brugte firmaet i stedet selve opdateringstjenesten til at slå sig selv fra. Ifølge AppleInsider skete det fra november 2025 til marts 2026, og ifølge MacRumors nåede det ud til over en million Macs og Windows-pc’er. I slutningen af marts blev 15 domæner overdraget til den almennyttige organisation Shadowserver Foundation.

Eye Research skriver dog selv, at enkelte domæner stadig er på andre hænder. Selve appen har desuden andre huller. Den bruger en Chrome-motor fra 2014 uden sandkasse og henter indhold over ukrypteret HTTP. Rapporten blev offentliggjort 22. oktober. Der står intet i den om, at Apple har været involveret, og den indeholder ingen tal for enkelte lande, så det vides ikke, hvor mange danske Macs der er ramt.

Undersøgelsen gælder ikke det nyere, lovlige projekt, der i 2025 tog navnet Popcorn Time.

Sådan tjekker du din Mac

På macOS hedder tjenesten PT.updd. Ifølge rapporten ligger den normalt i mappen /Library/PrivilegedHelperTools og startes af filen PT.updd.plist i /Library/LaunchDaemons. Åbn Finder, vælg Gå > Gå til mappe, og skriv de to stier. Hvis filerne ikke er der, er din Mac efter alt at dømme ikke ramt.

Finder du filerne, kan du stoppe tjenesten med den samme kommando, som Eye Research selv brugte. Skriv følgende i Terminal:

sudo launchctl unload -w /Library/LaunchDaemons/PT.updd.plist

Derefter kan du slette PT.updd og PT.updd.plist og fjerne Popcorn Time-appen fra mappen Programmer. Eye Research beskriver ikke en komplet afinstallering til macOS, men anbefaler at fjerne programmet helt. Har du ikke brugt Popcorn Time i flere år, kan det godt betale sig at tjekke alligevel. Det er netop de glemte installationer, der har haft tjenesten kørende.