Popcorn Time: jak odinstalować program z groźnym updaterem

Stary Popcorn Time w wersji Time4Popcorn ma w Windowsie i macOS updater, który przez lata uruchamiał z najwyższymi uprawnieniami każdy plik podsunięty przez właściciela jednej z porzuconych domen. Jeśli masz ten program na komputerze, trzeba go usunąć, nawet jeśli dawno z niego nie korzystasz. Ustalili to badacze firmy Eye Security i opisali 22 października 2026 roku w raporcie “Operation IXIM”. Zarejestrowali część porzuconych domen aktualizacji i między listopadem 2025 a marcem 2026 roku sami wyłączyli updater na komputerach, które się z nimi łączyły. Szacują, że chodziło o 2,5–3 mln Windowsów i 250–350 tys. Maców. Sama aplikacja jest jednak nadal niebezpieczna, a na Androidzie nic się nie zmieniło. Stan raportu na 24 października 2026 roku, godz. 9:10.

Który Popcorn Time jest groźny: Time4Popcorn, nie nowy projekt

Raport dotyczy Time4Popcorn, jednej z kopii (tak zwanych forków) programu z zamkniętym kodem źródłowym. Oryginalny program do oglądania filmów pobieranych przez BitTorrent zamknięto w 2014 roku. Powstało wtedy kilka kopii i większość z nich, łącznie z Time4Popcorn, rozpowszechniano pod tą samą nazwą. Użytkownik często nie wiedział więc, którą wersję ma na dysku.

Eye Security zaznacza też, że od początku 2025 roku pod tą nazwą działa nowy projekt, który buduje legalną alternatywę. Opisana luka go nie dotyczy. Jeśli instalowałeś program kilka lat temu, a w folderze z nim leży plik Updater.exe, masz właśnie Time4Popcorn.

Piszemy tu wyłącznie o bezpieczeństwie programu, bez oceny prawnej korzystania z torrentów.

Co robił updater Time4Popcorn

Updater uruchamiał się sam przy starcie systemu i co jakiś czas pytał kilka domen o nową wersję. Robił to po nieszyfrowanym HTTP i bez sprawdzania podpisu cyfrowego pliku. Badacze ustalili w kodzie, że wystarczy odpowiedzieć mu krótkim plikiem JSON z linkiem do programu. Updater pobierał wtedy ten program i uruchamiał go na Windowsie jako NT AUTHORITY\SYSTEM, a na Macu jako root, czyli z pełnymi uprawnieniami do całego komputera.

Na Windowsie tę rolę pełni Updater.exe działający jako usługa “Update Service”, na macOS PT.updd, zapisany jako narzędzie pomocnicze systemu. Na Androidzie updater jest częścią aplikacji. Sprawdza aktualizacje dopiero po jej otwarciu i pyta użytkownika, czy zainstalować plik APK.

Domeny aktualizacji porzucili twórcy programu. Część z nich była wolna, część trafiła do handlarzy domenami. Kto przejąłby choć jedną z nich, mógłby uruchomić własny kod na każdym komputerze, który się z nią łączy. Groźne było też samo HTTP: ruch mógł podmienić każdy, kto widzi połączenie, na przykład w otwartej sieci Wi-Fi. Ten sam problem z nieszyfrowanymi stronami opisywaliśmy przy ostrzeżeniach Chrome przed stronami bez HTTPS.

Luka ma numer CVE-2026-30612. Rekord CVE obejmuje Time4Popcorn dla Windowsa do wersji 6.2.1.18, dla macOS do 6.2.1.17 i dla Androida do 3.5.0.173. CISA oceniła ją na 9,8 w skali CVSS 3.1, czyli jako krytyczną.

Pierwsza Misja AI · Kodożercy

Używasz AI codziennie, ale czy robisz to dobrze?

Kurs Pierwsza Misja AI pokaże Ci techniki promptowania, które naprawdę działają. Praktyczne ćwiczenia na żywym modelu, gamifikacja i certyfikat.

Sprawdź program kursu →

Operacja IXIM: jak Eye Security wyłączyło updater na milionach komputerów

Eye Security trafiło na sprawę przy rutynowym przeglądzie telemetrii klientów. Na laptopie jednego z nich Updater.exe próbował się łączyć z niezarejestrowaną domeną popcorntimeupd.xyz. Badacze ją zarejestrowali i zobaczyli około 50 zapytań na sekundę. W ciągu pół roku naliczyli ponad 3,8 mln identyfikatorów urządzeń. Identyfikatory okazały się zawodne, więc firma podaje szacunek: 2,5–3 mln komputerów z Windowsem i prawdopodobnie 250–350 tys. Maców. Połączenia szły głównie z domowych sieci na całym świecie, ale także z sieci firm, administracji i wojska.

Aktualizacja wysyłana przez Eye robiła tylko jedno: zatrzymywała usługę updatera i wyłączała jej automatyczny start. Według raportu nie zbierała danych i nie kasowała plików. Najpierw trafiała wyłącznie do znanych już identyfikatorów, każdy dostawał ją raz, a połączenia firma przekierowywała na HTTPS. Po kilku tygodniach te ograniczenia złagodzono, żeby objąć jak najwięcej komputerów.

W grudniu 2025 roku aktualizacja dotarła do ponad miliona systemów, a liczba zapytań spadła o 90%. Do 1 marca 2026 roku spadek wyniósł 98%, a łączna liczba pobrań przekroczyła 2 mln. Pod koniec marca Eye przekazało 15 zarejestrowanych domen organizacji Shadowserver Foundation. Kilka innych domen z listy nadal należy do osób trzecich.

Dlaczego badacze uruchomili kod na cudzych komputerach

Eye Security przyznaje wprost, że uruchamiało kod na komputerach osób, które się na to nie zgodziły. Firma opisała tę decyzję jako bezprecedensową i podjęła ją po konsultacji z własnymi prawnikami. Program nie miał już twórcy, który mógłby wydać poprawkę, a jedyną alternatywą było zostawienie milionów komputerów z otwartym updaterem.

Badacze porównują swoją akcję z operacją Ladybird, w której holenderska policja wysłała aktualizację komputerom zarażonym botnetem Emotet i w ten sposób go unieszkodliwiła. Sami wskazują też różnicę: ofiary Emoteta nie wybrały zakażenia, a użytkownicy Time4Popcorn zainstalowali program dobrowolnie. Nikt jednak nie wybierał updatera, który latami czekał w tle na dowolny plik. Podobny dylemat pojawił się przy akcji FBI przeciw botnetowi na cudzych routerach.

Programy antywirusowe oceniły to po swojemu. Tydzień po starcie 11 producentów wykrywało aktualizację Eye jako złośliwą. Każda blokada zostawiała jednak włączony podatny updater, więc firma przerabiała kod, żeby ominąć sygnatury, aż wykrywał go jeden producent. Raport nie podaje żadnego przypadku, w którym ktoś inny wykorzystał lukę.

Czy Popcorn Time jest nadal niebezpieczny

Tak. Eye Security pisze wprost, że program nie jest bezpieczny w użyciu. Aktualizacja badaczy wyłączyła tylko updater, a reszta programu została bez zmian. Aplikacja działa na silniku Chrome z 2014 roku z wyłączoną piaskownicą. Każda z wielu luk przeglądarki naprawionych przez ostatnią dekadę może dać atakującemu kontrolę nad komputerem.

Program łączy się też po HTTP i ładuje skrypty JavaScript z porzuconych domen. Eye zarejestrowało i te domeny, a potem przekazało je Shadowserver. Firma ma już kod pokazowy, który przez JavaScript w aplikacji uruchamia na Windowsie Kalkulator. Na Androidzie badacze niczego nie wyłączali, bo tam updatera nie da się zatrzymać osobno. Zalecenie Eye Security dla wszystkich systemów brzmi więc tak samo: odinstalować program.

Jak sprawdzić, czy masz Popcorn Time na komputerze

Najprościej sprawdzić, czy na dysku leży plik updatera. Ścieżki podaje komunikat Eye Security z 11 czerwca 2026 roku:

• Windows: C:\Program Files (x86)\Popcorn Time\Updater.exe albo ten sam podfolder w C:\Program Files,
• macOS: /Library/PrivilegedHelperTools/PT.updd, a plik uruchamiający go przy starcie systemu: /Library/LaunchDaemons/PT.updd.plist.

Na Windowsie otwórz Eksplorator plików i wejdź do folderu Program Files albo Program Files (x86). Na Macu w Finderze wybierz z menu Idź polecenie Idź do folderu i wpisz /Library/PrivilegedHelperTools/. Według podręcznika Apple ukośnik na początku oznacza, że ścieżka zaczyna się od najwyższego poziomu dysku. Jeśli tych plików nie ma w podanych lokalizacjach, a programu nie widać na liście aplikacji, nie ma śladów typowej instalacji Time4Popcorn. Kto instalował go w innym folderze, powinien poszukać plików Updater.exe i PT.updd na całym dysku.

W firmie sprawdzi to dział bezpieczeństwa. Raport Eye Security zawiera listę 20 domen, z którymi łączył się updater, więc wystarczy poszukać ich w logach DNS i serwera pośredniczącego.

Jak odinstalować Popcorn Time na Windowsie

Odinstaluj program jak każdy inny, ale zacznij od wyłączenia usługi updatera. Nie wiadomo, czy deinstalator Time4Popcorn usuwa usługę, a jej wyłączenie zamyka główne zagrożenie od razu. Usługa ma ogólną nazwę “Update service”, więc przed wyłączeniem sprawdź, na jaki plik wskazuje (krok 2).

1. W polu wyszukiwania na pasku zadań napisz cmd, kliknij Wiersz polecenia prawym przyciskiem myszy i uruchom go jako administrator.
2. Wpisz sc.exe qc "Update service" i naciśnij Enter. W polu BINARY_PATH_NAME musi być ścieżka do pliku Updater.exe w folderze programu, który sprawdziłeś wyżej. Jeśli widzisz inną ścieżkę albo komunikat, że usługa nie istnieje, nie wyłączaj jej i od razu odinstaluj program.
3. Zatrzymaj usługę poleceniem sc.exe stop "Update service".
4. Wyłącz jej automatyczny start poleceniem sc.exe config "Update service" start= disabled. Spacja po start= jest wymagana, inaczej polecenie się nie wykona. Stan usługi sprawdzisz poleceniem sc.exe query "Update service".

Teraz usuń sam program i sprawdź, co zostało na dysku:

1. Wybierz Start > Ustawienia > Aplikacje > Zainstalowane aplikacje, znajdź Popcorn Time, kliknij Więcej i Odinstaluj.
2. Jeśli programu tam nie ma, wpisz w wyszukiwarce Panel sterowania, wejdź w Programy > Programy i funkcje, kliknij program prawym przyciskiem i wybierz Odinstaluj albo Odinstaluj/zmień.
3. Sprawdź jeszcze raz folder ze ścieżki powyżej. Jeśli Updater.exe dalej tam jest, wyłączona usługa i tak już nie wystartuje, a folder możesz usunąć ręcznie.

Sposób odinstalowania pochodzi ze strony pomocy Microsoftu dla Windows 10 i 11, polecenia sc.exe stop i sc.exe config z raportu Eye Security, a opis sc.exe qc i sc.exe query z dokumentacji Microsoft Learn. Na koniec warto przeskanować dysk wbudowanym antywirusem Windows.

Jak usunąć Popcorn Time z Maca

Na Macu najpierw wyłącz narzędzie pomocnicze updatera, potem usuń aplikację i jego pliki. Samo przeciągnięcie programu do Kosza zostawia rzeczy zapisane w innych folderach. Apple pisze, że usuwa je dopiero dezinstalator dołączony do aplikacji.

1. Otwórz Terminal i wpisz polecenie z raportu Eye Security, poprzedzając je słowem sudo, bo dotyczy usługi systemowej: sudo launchctl unload -w /Library/LaunchDaemons/PT.updd.plist. Podaj hasło administratora Maca.
2. Zamknij program, jeśli jest otwarty.
3. Znajdź aplikację w Finderze w folderze Aplikacje. Jeśli obok leży dezinstalator, użyj go. Jeśli nie, przeciągnij aplikację do Kosza albo wybierz Plik > Przenieś do Kosza i podaj hasło administratora.
4. W Finderze wybierz Idź > Idź do folderu, wpisz /Library/PrivilegedHelperTools/ i przenieś do Kosza plik PT.updd. Tak samo w folderze /Library/LaunchDaemons/ usuń PT.updd.plist.
5. Wybierz Finder > Opróżnij Kosz.

Kroki 2, 3 i 5 opisuje strona pomocy Apple o usuwaniu aplikacji. Krok 4 wynika z raportu: Eye zaleca producentom zabezpieczeń usuwanie plików Updater.exe i PT.updd z komputerów.

Jak usunąć aplikację z Androida

Aplikację na Androidzie usuniesz w ustawieniach telefonu. Instalowało się ją z pliku APK spoza Sklepu Play, więc na liście w Sklepie Play może jej nie być. Google radzi odinstalować wszystkie aplikacje spoza Sklepu Play, którym nie ufasz.

1. Otwórz aplikację Ustawienia.
2. Wejdź w Aplikacje i powiadomienia, a potem Wyświetl wszystkie aplikacje.
3. Wybierz tę aplikację i kliknij Odinstaluj.

Nazwy menu różnią się między producentami telefonów. Kroki pochodzą ze strony pomocy Google o usuwaniu niebezpiecznego oprogramowania, która radzi też włączyć skanowanie aplikacji w Google Play Protect. Telefony z Androidem miewają też groźne oprogramowanie zainstalowane fabrycznie, o czym pisaliśmy przy wirusie w tanich smartfonach.

FAQ

Czy ktoś wykorzystał lukę w updaterze do ataku?

Raport Eye Security nie podaje żadnego takiego przypadku. Badacze piszą natomiast, że w rękach przestępców updater dałby dostęp do milionów komputerów, w tym do sieci firmowych. Skutków sprzed listopada 2025 roku, gdy część domen była w rękach osób trzecich, raport nie ocenia.

Czy aktualizacja badaczy zostawiła coś na moim komputerze?

Według Eye Security aktualizacja tylko zatrzymała i wyłączyła usługę updatera, bez zbierania danych i bez kasowania plików. Sam program i jego pliki zostały na dysku. Dlatego trzeba je usunąć samodzielnie.

Podsumowanie

Time4Popcorn, rozpowszechniany latami jako Popcorn Time, miał w Windowsie i macOS updater, który pobierał pliki po HTTP z porzuconych domen i uruchamiał je bez sprawdzania podpisu, z najwyższymi uprawnieniami. Eye Security zarejestrowało część tych domen i od listopada 2025 do marca 2026 roku wyłączało updater na komputerach, które się z nimi łączyły. Firma szacuje ich liczbę na 2,5–3 mln Windowsów i 250–350 tys. Maców. 15 zarejestrowanych domen trafiło do Shadowserver Foundation, kilka innych nadal należy do osób trzecich, a luka ma numer CVE-2026-30612. Aplikacja nadal działa na przestarzałym silniku Chrome i ładuje skrypty po HTTP, a na Androidzie nic się nie zmieniło. Jeśli na Windowsie masz plik Updater.exe w folderze programu albo na Macu plik PT.updd, wyłącz usługę updatera i odinstaluj program według kroków powyżej.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.