Time4Popcorn版Popcorn Timeに残された更新機能により、最大35万台のMacが攻撃にさらされる状態でした。開発元が活動を停止した後も、更新用のバックグラウンドサービスは動き続けていました。Eye Researchは2025年11月から2026年3月にかけて、この機能を無効化する更新を配信しました。

起動時に動く更新機能が攻撃の経路に

Time4Popcornは、2014年に終了したPopcorn Timeの非公式フォークです。複数のフォークが「Popcorn Time」の名前で配布されていたため、利用者が導入した版を特定しにくい場合があります。2025年以降に同じ名前を使い始めた別プロジェクトは、今回の調査対象ではありません。

Mac版にはPT.upddという特権ヘルパーがあり、Macの起動時に自動実行されます。アプリを開いていなくても、バックグラウンドで更新を確認し続ける仕組みでした。

更新サーバーとの通信は暗号化されていないHTTPで行われ、ダウンロードしたコードの電子署名も検証されません。更新用ドメインを取得した第三者や通信を操作できる攻撃者は、Mac上でroot権限を使ってコードを実行できる構造でした。この脆弱性にはCVE-2026-30612が割り当てられています。

影響台数の推定と無効化措置

Eye Researchは当初、Macの識別子を約170万件記録しました。その後、ホスト名やネットワーク機器のアドレス変更により同じ端末が重複して数えられる問題に気づき、影響を受けたMacを25万〜35万台と推定しました。Windows PCについては、関連する更新基盤に約250万〜300万台が接続したと推定していますが、こちらも個別端末の確定数ではありません。

開発元が不在で公式パッチがないため、Eye Researchは脆弱な更新機能を使い、その機能自体を停止する更新を配信しました。MacではPT.upddを起動するlaunch daemonを停止する内容で、アプリ本体や他のファイルは削除しない設計でした。

Eye Researchによると、2025年12月までに100万台を超えるシステムへ更新を配信し、キャンペーン全体のダウンロード数は200万回を超えました。2026年3月1日時点の配信数は1日約5,000件で、それ以前より98％減少していました。3月下旬には管理していた15のドメインを非営利団体Shadowserver Foundationへ移管しています。

更新機能を止めてもアプリの危険は残る

Eye Researchは、更新機能とは別に、Time4Popcorn本体にも深刻な脆弱性を見つけました。アプリは2014年にさかのぼるブラウザーエンジンを使い、セキュリティサンドボックスが無効になっていました。また、保守されていないドメインからHTTP経由でJavaScriptを読み込みます。

ブラウザーのサンドボックスは、Webコンテンツを実行するプロセスがコンピューターへ永続的な変更を加えたり、機密情報へアクセスしたりできる範囲を制限します。Chromeのサイト分離では、異なるサイトを別々のプロセスで実行し、それぞれにサンドボックスを適用します。さらに、別サイトのデータがプロセスへ渡るのを制限し、侵害されたプロセスから他サイトの情報を読み取る難度を高めます。

サンドボックスが無効な古いエンジンでは、悪意あるJavaScriptが実行された後に被害を隔離する境界が弱まります。Eye ResearchはWindowsで、悪意あるJavaScriptからプログラムを実行できることを示しましたが、同じ攻撃をmacOSで実証したとはしていません。更新機能を停止してもアプリ本体の脆弱性は解消されないため、Eye ResearchはTime4Popcorn版を完全にアンインストールするよう推奨しています。

Macに残った関連ファイルを確認する

Macで対象版を使っていた場合は、Finderの「移動」から「フォルダへ移動」を開き、「/Library/PrivilegedHelperTools/」にPT.upddがあるか確認できます。関連するlaunch daemonは「/Library/LaunchDaemons/PT.updd.plist」にあります。

アプリを「アプリケーション」フォルダから削除しても、関連するバックグラウンドサービスが残る場合があります。Eye Researchは、更新機能を停止するだけでなく、アプリ全体を削除するよう勧めています。

macOSを最新の状態に保ち、Apple組み込みのマルウェア保護機能を利用する方法もあります。ただし、OSを更新しても、サポートが終了した第三者製アプリ内の脆弱性は修正されません。