Selamlar,
İlginç ve öğretici bir vaka: Hollandalı güvenlik firması Eye Security, Kasım 2025 ile Mart 2026 arasında sahibi olmadığı 2 milyondan fazla bilgisayara güncelleme göndererek, terk edilmiş Time4Popcorn uygulamasındaki tehlikeli bir güncelleyiciyi kapattı. The Hacker News "Operation IXIM" olarak bilinen bu operasyonu detaylandırdı. Burada güvensiz güncelleyici (updater) riskini ve kendi yazılım dağıtımınız için çıkarılacak dersleri ele alıyorum.
Konuda anlatılacaklar
- Time4Popcorn nedir, sorun ne?
- CVE-2026-30612 teknik özeti
- Güncelleyici neden botnet yakıtı olabilirdi?
- Operation IXIM: güncelleyiciyi kendine karşı kullanmak
- Kullanıcılar ne yapmalı?
- Geliştiriciler için ders: güvenli güncelleme
1. Time4Popcorn nedir?
Popcorn Time, yaklaşık on yıl önce popüler olan, BitTorrent üzerinden korsan film/dizi yayınlayan ücretsiz bir uygulamaydı. Orijinali 2014'te kapandı, ama aynı adla çalışan kopyalar sürdü. Time4Popcorn bu terk edilmiş kopyalardan biri. Eye Security, bir müşterinin dizüstünde sürekli artık kayıtlı olmayan bir web adresine ulaşmaya çalışan Updater.exe bulunca olayın ipini çekti.
2. CVE-2026-30612
CISA'nın 9.8 puanladığı açık şu sürümleri etkiliyor:
Kod:
Windows : 6.2.1.18 ve öncesi
macOS : 6.2.1.17 ve öncesi
Android : 3.5.0.173 ve öncesi3. Neden botnet yakıtı?
Çağırdığı web adresleri terk edildiği için, doğru adresi kaydeden herhangi biri hâlâ o adresi arayan tüm makinelere kendi programını sunabilirdi. Böyle bir erişimle saldırgan fidye yazılımı kurabilir, kayıtlı parolaları çalabilir veya makineyi bir botnete katabilirdi. Eye, adreslerden birini kaydettiğinde saniyede yaklaşık 50 istek geldi; altı ayda 3,8 milyondan fazla farklı donanım kimliği göründü (tahmin: 2,5-3 milyon Windows, 250-350 bin Mac).
4. Operation IXIM
Yama çıkaracak şirket kalmadığı için Eye, hukuki görüş aldıktan sonra güncelleyiciyi kendisine karşı kullandı: makinelere sadece güncelleyiciyi durdurup devre dışı bırakan, hiçbir dosya silmeyen ve hiçbir veri toplamayan bir güncelleme gönderdi. Aralık 2025'e kadar 1 milyondan fazla sistem güncellendi, trafik %90 azaldı. Mart'ta operasyonu durdurdu ve kontrol ettiği 15 adresi Shadowserver Vakfı'na devretti.
5. Kullanıcılar ne yapmalı?
Eye'in tavsiyesi net: Popcorn Time'ı kaldırın. Güncelleyiciyi kapatmak uygulamayı güvenli yapmıyor; çünkü uygulama 2014 tarihli, güvenlik sandbox'ı kapalı bir tarayıcı motoru üzerinde çalışıyor. Elle kapatmak isteyenler için:
Kod:
# Windows
sc.exe stop "Update service"
sc.exe config "Update service" start= disabled
# macOS
launchctl unload -w /Library/LaunchDaemons/PT.updd.plist6. Geliştiriciler için ders
Bu olay, kendi yazılımına otomatik güncelleme koyan herkes için bir kontrol listesi:
- Güncellemeleri imzalayın ve istemcide imzayı doğrulayın. Doğrulanmamış payload asla çalıştırılmamalı.
- Güncelleme kanalını HTTPS/TLS ile koruyun; şifresiz kontrol kabul edilemez.
- Terk etme planınız olsun. Proje biterse güncelleme altyapısını güvenli şekilde kapatmak veya domainleri elde tutmak gerekir.
- En az yetkiyle kurun. SYSTEM/root ile kör körüne kurulum, tek bir zayıf halkayı tam ele geçirmeye çevirir.
Sonuç
Operation IXIM hem terk edilmiş yazılımın ne kadar tehlikeli olabileceğini hem de güvenli güncelleme tasarımının önemini gösteriyor. Kullandığınız uygulamalardan arka planda sessizce güncelleyici çalıştıran var mı, hiç baktınız mı?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar