สรุปสั้น

บริษัท Eye Security ผู้ให้บริการเฝ้าระวังภัยคุกคามสัญชาติเนเธอร์แลนด์ เปิดเผยว่าระหว่างพฤศจิกายน 2568 ถึงมีนาคม 2569 บริษัทส่งอัปเดตกว่า 2 ล้านครั้งไปยังคอมพิวเตอร์ที่ไม่ใช่ของตัวเอง เพื่อปิด updater ที่ทำงานเบื้องหลังของ Time4Popcorn ซึ่งเป็น Popcorn Time ฉบับที่ถูกทิ้ง แอปนี้เคยเป็นที่นิยมเมื่อราวสิบปีก่อนสำหรับสตรีมภาพยนตร์และซีรีส์ละเมิดลิขสิทธิ์ผ่าน BitTorrent ปัญหาคือ updater ติดต่อโดเมนที่หมดอายุไปแล้วผ่านช่องทางที่ไม่เข้ารหัส และติดตั้งทุกอย่างที่ได้รับด้วยสิทธิ์สูงสุด คือ SYSTEM บน Windows และ root บน Mac โดยไม่ตรวจว่าใครเป็นผู้ส่ง

ช่องโหว่นี้ได้หมายเลข CVE-2026-30612 และ CISA ให้คะแนน 9.8 ใครก็ตามที่จดโดเมนเก่าได้ก็ส่งโปรแกรมของตัวเองไปยังทุกเครื่องที่ยังเรียกโดเมนนั้นได้ทันที ซึ่ง Eye ประเมินว่ามี Windows ราว 2.5 ถึง 3 ล้านเครื่อง และ Mac อีกราว 250,000 ถึง 350,000 เครื่อง เมื่อไม่มีบริษัทเหลือมาแก้และไม่มีแพตช์ Eye จึงขอคำปรึกษาทางกฎหมายแล้วใช้ updater ปิดตัวเอง ปฏิบัติการนี้ชื่อ Operation IXIM และนำเสนอที่งาน Hack.lu เมื่อวันที่ 22 ตุลาคม 2569 แต่การปิด updater ไม่ได้ทำให้แอปปลอดภัย Eye จึงแนะนำให้ถอนการติดตั้ง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 ตุลาคม 2569 ว่า Eye Security พบ updater นี้ระหว่างการล่าภัยคุกคามตามปกติ เมื่อโปรแกรมชื่อ Updater.exe บนแล็ปท็อปของลูกค้ารายหนึ่งพยายามติดต่อโดเมนที่ไม่มีผู้จดทะเบียนแล้วซ้ำ ๆ บริษัทจึงจดโดเมนนั้นเองเพื่อดูว่าอะไรจะเชื่อมเข้ามา ผลคือมีคำขอเข้ามาราว 50 ครั้งต่อวินาที ตลอดหกเดือนคำขอเหล่านี้มี hardware ID ต่างกันกว่า 3.8 ล้านค่า แต่ ID ใช้นับเครื่องได้ไม่แม่น เพราะ Windows บางเครื่องใช้ ID ร่วมกันและ Mac บางเครื่องเปลี่ยน ID ไปเรื่อย ๆ Eye จึงปรับตัวเลขประเมินลงมาเป็นช่วงดังกล่าว

การสุ่มตรวจที่อยู่ IP ที่เชื่อมเข้ามาพบทั้งผู้ใช้ตามบ้านทั่วโลก และเครื่องในเครือข่ายรัฐบาล ทหาร และองค์กร แม้ Eye จะระบุว่า “ยากที่จะสรุปผล” จากข้อมูลนี้ บริษัทเปิดเผยช่องโหว่ตั้งแต่เดือนมิถุนายน 2569 และ ณ วันที่ 23 ตุลาคม 2569 ช่องโหว่นี้ยังไม่อยู่ในแคตตาล็อก KEV ของ CISA Eye ไม่พบสัญญาณว่ามีผู้อื่นส่งโค้ดผ่านโดเมนเหล่านี้ โดเมนที่คนอื่นจดไว้แล้วอยู่ในสถานะพักไว้หรือประกาศขาย ไม่ได้ส่งอัปเดตไปยังเครื่องที่เรียกเข้ามา

ปลายเดือนมีนาคม 2569 Eye ส่งมอบโดเมน 15 รายการที่ตนถือไว้ให้ Shadowserver Foundation องค์กรไม่แสวงกำไรที่นำโดเมนร้างและโดเมนอันตรายออกจากการใช้งาน เพื่อให้หน่วยงานที่น่าเชื่อถือเป็นผู้ถือแทน ข้อมูลการจดทะเบียนของ popcorntimeupd[.]xyz ชี้ไปที่เซิร์ฟเวอร์ sinkhole ของ Shadowserver โดยมีการโอนเมื่อวันที่ 20 มีนาคม 2569 แต่ยังมีโดเมนอื่นที่ updater เรียกซึ่ง Eye ไม่ได้ถือไว้และยังอยู่กับเจ้าของภายนอก เครื่องที่ติดต่อโดเมนเหล่านั้นจึงยังมีความเสี่ยง

รายละเอียดช่องโหว่

CVE-2026-30612 กระทบ Time4Popcorn 3 แพลตฟอร์ม ได้แก่ Windows ถึงเวอร์ชัน 6.2.1.18, Mac ถึงเวอร์ชัน 6.2.1.17 และ Android ถึงเวอร์ชัน 3.5.0.173 updater ทำงานเบื้องหลังบน Windows และ Mac ตั้งแต่เปิดเครื่อง ตรวจหาเวอร์ชันใหม่ผ่านการเชื่อมต่อที่ไม่เข้ารหัส และติดตั้งสิ่งที่ได้รับด้วยสิทธิ์สูงสุดโดยไม่ตรวจลายเซ็นหรือแหล่งที่มา เมื่อโดเมนที่ updater เรียกถูกทิ้ง ใครที่จดโดเมนได้ก็กลายเป็นผู้ส่งอัปเดตให้เครื่องทั้งหมด และสามารถติดตั้งแรนซัมแวร์ ขโมยรหัสผ่านที่บันทึกไว้ หรือดึงเครื่องเข้าบอตเน็ตได้

อัปเดตที่ Eye ส่งออกไปทำเพียงอย่างเดียว คือหยุดและปิด updater โดยไม่ลบไฟล์และไม่เก็บข้อมูลใด ๆ บริษัทเทียบการตัดสินใจนี้กับ Operation Ladybird ปี 2564 ที่ตำรวจเนเธอร์แลนด์ส่งอัปเดตไปปิดมัลแวร์ Emotet บนเครื่องเหยื่อ ต่างกันตรงที่เหยื่อ Emotet ไม่ได้เลือกติดเชื้อ ส่วนผู้ใช้ Popcorn Time ติดตั้งแอปเอง แต่ตามที่ Eye ระบุ “ไม่มีใครเลือกให้ updater ที่ถูกลืมทำงานเบื้องหลังอยู่หลายปี” หลังเริ่มส่งอัปเดตไม่นาน มีผู้อัปโหลดอัปเดตของ Eye ขึ้น VirusTotal และเอนจินแอนติไวรัสเริ่มตรวจจับว่าเป็นมัลแวร์ ซึ่ง Eye มองว่าสมเหตุสมผลเพราะเป็นโปรแกรมที่ปิด service ของ Windows แต่ทุกผลิตภัณฑ์ที่บล็อกอัปเดตก็ทิ้ง updater ที่มีช่องโหว่ไว้ทำงานต่อ Eye จึงปรับอัปเดตจนเหลือสแกนเนอร์ตรวจจับเพียงตัวเดียว

ภายในธันวาคม 2568 Eye อัปเดตเครื่องได้กว่า 1 ล้านเครื่อง และทราฟฟิกที่เข้าโดเมนลดลงราว 90% ถึงวันที่ 1 มีนาคม 2569 เหลือส่งอัปเดตวันละประมาณ 5,000 ครั้ง ลดลง 98% บริษัทประเมินว่าจำนวนที่เหลือน้อยเกินกว่าจะดึงดูดผู้ควบคุมบอตเน็ตจึงหยุด รวมแล้วส่งอัปเดตไปกว่า 2 ล้านครั้ง Eye ไม่ส่งอัปเดตไปยัง Android เพราะบนแอนดรอยด์ updater ฝังอยู่ในแอปและจะติดตั้งเมื่อผู้ใช้กดยอมรับเท่านั้น

ผลกระทบ

ตัวแอปเองยังอันตรายแม้ updater ถูกปิดแล้ว Eye ระบุว่า Popcorn Time ทำงานบนเอนจินเบราว์เซอร์ปี 2557 ที่ปิด sandbox ด้านความปลอดภัยไว้ โหลดเนื้อหาผ่านการเชื่อมต่อที่ไม่เข้ารหัส และดึงโค้ดจากโดเมนร้างอื่นอีก Eye จดโดเมนร้างเหล่านั้นไว้ด้วย ซึ่งหมายความว่าบริษัทสามารถรันโค้ดของตัวเองบนทุกเครื่องที่เปิดแอปได้ บริษัทไม่ได้ทำ แต่สร้าง proof of concept ที่ใช้งานได้จริง ความเสี่ยงจึงไม่ใช่เรื่องสมมติ

ในมุมกว้าง กรณีนี้เป็นตัวอย่างของความเสี่ยงจากซอฟต์แวร์ที่ถูกทิ้งแต่ยังติดตั้งอยู่ในเครื่องจำนวนมาก โดเมนที่หมดอายุกลายเป็นช่องทางยึดเครื่องหลายล้านเครื่องพร้อมกันสำหรับใครก็ตามที่จดได้ก่อน และเครื่องในเครือข่ายองค์กรก็อยู่ในกลุ่มนี้ด้วย หากพนักงานติดตั้งแอปละเมิดลิขสิทธิ์ไว้บนเครื่องทำงาน

คำแนะนำ

  • ถอนการติดตั้ง Popcorn Time ทุกเวอร์ชันของ Time4Popcorn ซึ่งเป็นวิธีที่ปลอดภัยที่สุด เพราะการปิด updater ยังทิ้งส่วนอื่นของแอปที่อันตรายไว้
  • หากยังถอนไม่ได้ ให้ปิด updater ด้วยมือ บน Windows: sc.exe stop "Update service" และ sc.exe config "Update service" start= disabled บน Mac: launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
  • บน Android ไม่มีวิธีปิด updater แยก ต้องถอนแอปเท่านั้น
  • ค้นหาไฟล์ Updater.exe (Windows) และ PT.updd (Mac) ในเครื่ององค์กร และตรวจทราฟฟิกไปยังโดเมนทั้ง 20 รายการกับ hash ที่ Eye เผยแพร่ในรายงาน
  • ใช้นโยบาย application allowlisting เพื่อป้องกันการติดตั้งซอฟต์แวร์ละเมิดลิขสิทธิ์และซอฟต์แวร์ที่ไม่มีผู้ดูแลบนเครื่ององค์กร

แหล่งอ้างอิง