En forladt opdateringsmekanisme i den gamle Popcorn Time-fork Time4Popcorn har efterladt op til 350.000 Macs sårbare over for fjernangreb, viser en rapport fra sikkerhedsforskerne hos Eye Research. Problemet lå ikke i selve appen, men i en baggrundskomponent, der kunne køre med root-privilegier og hente kode uden ordentlig kontrol.

Det gør historien relevant for Mac-brugere af en meget simpel årsag: Selv software, man ikke længere bruger, kan blive ved med at være aktiv i baggrunden. I dette tilfælde var det opdatereren, der fortsatte med at køre, selv om mange brugere for længst havde opgivet Popcorn Time.

Hvad Eye Research fandt

Eye Research beskriver, at undersøgelsen begyndte, da forskerne opdagede en opdateringsklient, der kontaktede et forladt domæne fra en kundes Windows-computer. Efter at have registreret domænet så de omkring 50 forespørgsler i sekundet fra enheder, der stadig kørte softwaren.

På macOS var den sårbare komponent en privilegeret hjælpetjeneste kaldet PT.updd, som startede automatisk ved opstart. Den kunne køre uafhængigt af selve appen, og rapporten viser, at den brugte ukrypteret HTTP samt accepterede hentet kode uden at verificere digital signatur.

Det betyder i praksis, at en angriber, der kunne kontrollere et af de forladte opdateringsdomæner eller manipulere netværkstrafikken, potentielt kunne få fjernadgang til at køre kode med højeste systemrettigheder.

Hvor mange Macs blev ramt?

Her er tallet usikkert, og det bør læses som et estimat snarere end en endelig optælling. Forskerne registrerede først omkring 1,7 millioner unikke Mac-identifikatorer, men opdagede senere, at ændringer i værtsnavn eller netværksadresser kunne få den samme maskine til at fremstå flere gange.

Derfor justerede Eye Research estimatet til mellem 250.000 og 350.000 Macs. Samtidig vurderede forskerne, at omkring 2,5 millioner til 3 millioner Windows-pc'er havde kontaktet den samme opdateringsinfrastruktur, men også det tal er ikke en verificeret opgørelse over unikke enheder.

Forskernes nødindsats løste ikke hele problemet

Eye Research valgte at bruge selve den sårbare opdateringsmekanisme til at beskytte de berørte computere. AppleInsider beskriver, at forskerne udviklede en lille opdatering, der deaktiverede baggrundstjenesten, som tjekkede efter ny software. På Mac stoppede den en launch daemon, der startede PT.updd.

Forskerne understreger dog, at dette ikke fjernede selve programmet, og at deres løsning var målrettet opdatereren – ikke alle øvrige spor af softwaren. De oplyser også, at arbejdet rejste juridiske og etiske spørgsmål, fordi kode blev eksekveret på maskiner uden brugernes udtrykkelige tilladelse. AppleInsider siger, at både juridisk vurdering og testning blev gennemført før den bredere udrulning.

Indsatsen ser ud til at have reduceret eksponeringen betydeligt. Eye Research oplyser, at de i december 2025 havde rullet opdateringen ud til mere end en million systemer, og at kampagnen i alt leverede over 2 millioner downloads. Det er dog ikke det samme som 2 millioner unikke computere eller bekræftet vellykkede reparationer.

Det vigtigste for Mac-brugere: afinstaller helt

Eye Research anbefaler, at Mac-brugere, som har installeret Time4Popcorn-versionen af Popcorn Time, fjerner den helt – også selv om appen ikke har været åbnet i årevis. Årsagen er enkel: At deaktivere opdatereren løser ikke de øvrige sikkerhedsproblemer i selve appen.

Forskerne beskriver også, at den gamle software bruger en browsermotor fra 2014, hvor sikkerhedssandkassen er slået fra, og at appen henter JavaScript over ukrypterede forbindelser fra domæner, som de oprindelige udviklere ikke længere vedligeholder. De demonstrerede, at ondsindet JavaScript kunne køre programmer på Windows, men viste ikke den samme kæde på macOS.

Det er den praktiske lektie i sagen: Selv hvis en app er “glemt”, kan dens baggrundsprocesser stadig udgøre en reel risiko. For danske Mac-brugere, der har eksperimenteret med gamle streaming- eller BitTorrent-værktøjer, er det derfor værd at tjekke, hvad der stadig ligger og starter ved login eller opstart.

Eye Research oplyser, at de ikke fik fat i alle domæner knyttet til den forladte software, så det kan ikke garanteres, at alle sårbare Macs er blevet repareret. Men rapporten viser tydeligt, at problemet ikke bare var en gammel app – det var en vedvarende, privilegeret baggrundstjeneste, som kunne have åbnet døren for alvorlig misbrug.