放置された海賊版アプリの更新機能を逆利用、セキュリティ企業が200万台以上の端末で遠隔無効化を実施

要点

• オランダのセキュリティ企業Eye Securityが、放置された海賊版動画アプリ「Time4Popcorn」の自動更新機能を使い、200万台以上の端末で更新機能を遠隔無効化する作戦を実施した。

• 対象となったアップデータには、暗号化されていない通信で取得したファイルを最高権限で無検証実行してしまう、深刻度9.8の脆弱性（CVE-2026-30612）が存在していた。

• アップデータが参照していた未登録ドメインを同社が取得して逆手に取り、端末がボットネットやランサムウェアの踏み台になるのを防いだ。

• 危険な通信を98%削減したのち、同社は管理下の関連ドメインを非営利組織のShadowserver Foundationへ移管した。

• オランダのサイバーセキュリティ企業Eye Securityは、かつて広く使われていた動画ストリーミングアプリの放棄されたクローン「Time4Popcorn」の脆弱性を解消するため、外部のコンピュータ200万台以上に向けて自動更新機能を無効化する更新プログラムを配信したことを明らかにした。この取り組みは「Operation IXIM」と名付けられ、同社が2026年10月22日にルクセンブルクで開催されたセキュリティカンファレンス「Hack.lu」の講演および技術レポートで詳細を公表した。

放置されたアップデータに潜む深刻な脆弱性

今回の作戦の発端は、Eye Securityが顧客ネットワークの脅威ハンティング（潜伏する脅威の能動的な探索）を行っていた際、あるノートPC内で「Updater.exe」というプログラムが登録の切れたWebアドレスへ通信を試み続けているのを発見したことだった。調査の結果、このプログラムは動画共有プロトコルのBitTorrentを使って映画やテレビ番組を違法配信していたアプリ「Popcorn Time」の派生版（クローン）である「Time4Popcorn」の自動更新ツールであることが判明した。

このアップデータには、後に「CVE-2026-30612」として採番された極めて深刻な脆弱性が含まれていた。米サイバーセキュリティ・インフラセキュリティ庁（CISA）による深刻度スコア（CVSS）は10点満点中9.8と評価されている。影響を受けるのは、Windows版（バージョン6.2.1.18以下）、Mac版（バージョン6.2.1.17以下）、Android版（バージョン3.5.0.173以下）のソフトウェアだ。

アップデータはOSの起動直後からバックグラウンドで動作し、暗号化されていない平文の通信で新バージョンを確認する仕様になっていた。さらに、送信元の検証を一切行わずに送られてきたプログラムをそのままインストールし、Windowsでは「SYSTEM」、Macでは「root」というOSの最上位権限（管理者権限）で実行する仕組みだった。更新確認先のドメインが失効して誰でも取得可能な状態になっていたため、第三者が正規のドメイン名を取得すれば、接続してくるすべての端末に任意のプログラムを送り込める危険な状態に陥っていた。

潜在被害は数百万台、ドメイン取得から判明した巨大な通信規模

Eye Securityが接続先となっていた未登録アドレスを自ら取得したところ、毎秒約50件ものリクエストが殺到した。6か月間に記録されたハードウェアIDは380万件以上にのぼったという。一部のWindows端末で同一IDが共有されていたりMac端末でIDが変動したりする仕様を考慮して推計を見直した結果、影響を受ける端末はWindowsが250万〜300万台、Macが25万〜35万台に達すると同社は試算した。

最高権限を奪取できる状態の端末が悪意ある攻撃者に狙われた場合、ランサムウェアの感染、保存されたパスワードの窃取、あるいはサイバー攻撃の踏み台となるボットネットへの組み込みが行われる危険があった。接続元のIPアドレスを分析したところ、世界中の一般家庭ユーザーに加え、政府機関、軍、企業のネットワークに接続された端末も確認されたと同社は説明している。

アップデータを逆利用した無害化作戦「Operation IXIM」

Time4Popcornの開発元組織はすでに消滅しており、公式な修正パッチが提供される見込みはなかった。そこでEye Securityは法的助言を受けた上で、アップデータの仕組みそのものを逆手に取る方針を決断した。接続してきた端末に対し、「問題のアップデータを停止・無効化する」単機能の更新プログラムを配信した。既存のファイルを削除したり、端末から情報を収集したりする処理は一切含めなかったという。

この措置について同社は、2021年に欧州当局がボットネット「Emotet」をテイクダウンした際に警察が感染端末へ更新を送り込んでマルウェアを無力化した「Operation Ladybird」を引き合いに出している。Emotetの被害者がマルウェアを自ら導入したわけではないのに対し、Popcorn Timeの利用者は自発的にアプリをインストールしたという違いはあるものの、「忘れ去られたアップデータが何年もバックグラウンドで動き続けることを望んだ利用者はいなかった」と同社は指摘している。

配信開始直後には、セキュリティ上の課題にも直面した。配信したプログラムがセキュリティ情報共有サイトのVirusTotalに登録されたことで、Windowsサービスを停止する挙動から複数のウイルス対策ソフトにマルウェアとして検知され、ブロックされてしまった。ブロックされた端末では脆弱なアップデータが稼働し続けてしまうため、同社は検知する対策ソフトが1製品のみになるまでプログラムの修正を重ねて配信を継続した。

作戦の成果と非営利団体へのドメイン移管

配信作戦は2025年11月から2026年3月にかけて展開された。2025年12月までに100万台以上のシステムを更新し、同社サーバーへのトラフィックを約90%削減した。2026年3月1日には1日あたりの配信数が約5000件（開始時から98%減）にまで落ち込み、ボットネット運営者が関心を持つ規模を下回ったと判断したことから配信を終了した。期間中の累計配信回数は200万回を超えた。

2026年3月下旬、同社は管理していた15件の関連ドメインを、悪用ドメインの無害化活動を行う非営利組織「Shadowserver Foundation」へ移管した。公開レジストリ情報によると、「popcorntimeupd[.]xyz」などのドメインは同団体のシンクホール（安全な分析用サーバー）に向けられている。

なお、他者がこれらのドメインを悪用して不正なコードを配信していた形跡は確認されなかった。ただし、アップデータが参照する通信先のうち一部のドメインは別の第三者が保有しており、同社が取得できなかったアドレスへ接続し続けている端末については、依然として潜在的なリスクが残されているという。