Trình cập nhật của Popcorn Time bị bỏ hoang khiến hàng triệu máy tính đối mặt nguy cơ bị chiếm quyền điều khiển

Trình cập nhật của một nhánh Popcorn Time bị bỏ hoang đã âm thầm chạy trên hàng triệu máy tính trong nhiều năm, và lỗ hổng trong cơ chế này có thể bị kẻ tấn công lợi dụng để chiếm toàn quyền kiểm soát thiết bị. Câu chuyện được các nhà nghiên cứu của Eye Security công bố, và cách họ xử lý cũng đáng để giới bảo mật Việt Nam tham khảo.

Minh họa về mạng lưới botnet và thiết bị bị xâm nhập

Một ứng dụng đã chết nhưng vẫn chạy ngầm

Popcorn Time từng là cái tên rất quen thuộc với người dùng Internet hơn một thập kỷ trước. Đây là ứng dụng BitTorrent cho phép xem phim tải về từ mạng ngang hàng, và dự án gốc đã bị bỏ dở từ năm 2014. Từ đầu năm 2025, một phiên bản hợp pháp thay thế được cho là đang được phát triển.

Tuy nhiên, nhánh Time4Popcorn — vẫn được phát hành dưới tên Popcorn Time — vẫn còn tồn tại trên nhiều máy tính. Điều đáng nói là trình cập nhật tự động của nó vẫn tiếp tục hoạt động, gọi về máy chủ từ xa qua giao thức HTTP không mã hóa để xin bản cập nhật.

Nhóm Eye Security nhận thấy nhiều tên miền cập nhật đã bị bỏ hoang, số khác thì bị bên thứ ba mua lại và "đỗ" (parked). Trình cập nhật này chạy nền ngay khi hệ thống khởi động, không có ký số mã nguồn (code signing), và sẵn sàng tải về rồi thực thi bất kỳ tệp chạy được nào do tên miền kia cung cấp.

Hàng triệu thiết bị kết nối về tên miền bị bỏ

Sau khi đăng ký tên miền bị bỏ hoang popcorntimeupd.xyz, Eye Security ghi nhận hàng triệu hệ thống kết nối tới đây. Họ tiếp tục đăng ký thêm một số tên miền khác trong danh sách.

Thống kê cho thấy phần lớn thiết bị chạy Windows (khoảng 2,5–3 triệu máy), tiếp theo là macOS (250.000–350.000 máy) và Android (dưới 200.000 máy).

"Phần lớn máy khách kết nối từ các nhà mạng ISP đầu cuối trên khắp thế giới, nhưng chúng tôi cũng thấy kết nối từ nhiều mạng lưới chính phủ và quân đội, cũng như rất nhiều mạng doanh nghiệp", Eye Security cho biết. "Khó có thể kết luận điều gì từ đó, nhưng có thể khẳng định tội phạm mạng sẽ rất quan tâm tới nhiều hệ thống trong số này."

Kết nối cập nhật không an toàn khiến các thiết bị trên đối mặt nguy cơ bị thao túng luồng dữ liệu: kẻ tấn công có thể phục vụ bản cập nhật độc hại của riêng mình, và nó sẽ được thực thi với quyền System/root. Lỗ hổng được gán mã CVE-2026-30612.

Không có nhà phát triển để vá, nhà nghiên cứu tự ra tay

Vì dự án đã bị bỏ hoang, không có nhà phát triển nào để phát hành bản vá. Eye Security quyết định tự giải quyết: họ đăng ký 15 tên miền không thuộc sở hữu của bên thứ ba và đẩy một bản cập nhật để vô hiệu hóa hoàn toàn cơ chế cập nhật lỗi thời này.

Minh họa an ninh mạng và lỗ hổng phần mềm

Chiến dịch bắt đầu từ tháng 11/2025. Đến tháng 3/2026, khoảng 2 triệu hệ thống đã nhận được bản vá, tương đương mức giảm 98% số yêu cầu cập nhật gửi tới các tên miền của nhóm nghiên cứu.

Cần lưu ý rằng bản vá chỉ áp dụng cho Windows và macOS. Trên Android, quá trình này cần người dùng thao tác thủ công, và trình cập nhật nằm trong chính ứng dụng nên không thể vô hiệu hóa độc lập.

Cuối tháng 3/2026, tổ chức The Shadowserver Foundation tiếp quản các tên miền. Hiện chúng vẫn được sinkhole, cùng với những tên miền khác mà ứng dụng Popcorn Time từng tải mã JavaScript về — các tên miền này cũng đã bị bỏ hoang.

Lời khuyên rất đơn giản: gỡ cài đặt

Người dùng có thể tự tắt trình cập nhật lỗi thời theo cách thủ công. Tuy vậy, ứng dụng được xây dựng trên nền Chrome phiên bản 2014, không có sandbox, nên theo đánh giá của các chuyên gia, cách an toàn nhất là gỡ bỏ hoàn toàn.

"Bản cập nhật của chúng tôi chỉ vô hiệu hóa trình cập nhật. Phần còn lại của ứng dụng không thay đổi, nên mọi rủi ro vẫn tồn tại với ai còn dùng Popcorn Time. Chúng tôi đã tạo được bằng chứng khái niệm chạy calc.exe thông qua JavaScript, nên rủi ro là có thật. Vì vậy lời khuyên của chúng tôi rất đơn giản: hãy gỡ cài đặt nó", Eye Security nhấn mạnh.

Biểu trưng SecurityWeek

Bài học cho người dùng và doanh nghiệp Việt Nam

Sự cố này là lời cảnh báo rõ ràng về những phần mềm "đã chết" nhưng vẫn còn sót lại trên máy. Với người dùng Việt Nam, nhiều ứng dụng xem phim, tải nhạc hay tiện ích miễn phí có nguồn gốc nước ngoài từng được chia sẻ rộng rãi qua các diễn đàn và mạng xã hội.

• Kiểm tra và gỡ bỏ các phần mềm không còn được cập nhật, đặc biệt là ứng dụng tiêu thụ nội dung lậu.
• Ưu tiên phần mềm có cơ chế cập nhật ký số và dùng HTTPS, tránh xa ứng dụng tải bản cập nhật qua HTTP thuần.
• Với doanh nghiệp, các máy tính trong mạng nội bộ từng kết nối tới những tên miền trên cần được rà soát, vì kẻ tấn công rất "quan tâm" tới các hệ thống nằm sau tường lửa doanh nghiệp.
• Theo dõi thông tin lỗ hổng như CVE-2026-30612 trong các hệ thống quản lý tài sản và quản lý lỗ hổng.

Trường hợp Popcorn Time cho thấy một tên miền bị bỏ hoang có thể trở thành "cửa hậu" tập thể cho hàng triệu máy tính. Khi chủ sở hữu dự án biến mất, không ai còn trách nhiệm vá lỗi — trừ khi cộng đồng bảo mật vào cuộc, như Eye Security và Shadowserver đã làm.