装过 Popcorn Time 的 Mac 可能还在联网，25 万到 35 万台受影响

一台多年前装过 Popcorn Time 的 Mac，可能到现在每次开机都还在向境外服务器要一次「更新」，并把下载回来的程序当成可信文件、给出改动系统的完整权限。安全公司 Eye Research 10 月 29 日公开的分析给出的估计是，25 万到 35 万台 Mac 受影响。

这个更新检查器到底做了什么

出问题的是 Time4Popcorn，它是 Popcorn Time 若干非官方分支里的一个，并且直接以 Popcorn Time 的名义分发。Eye Research 的描述是，这个分支在应用里留了一个很小的更新检查器，每次 Mac 启动就扫描一次更新，用户多年没打开过应用也照样运行。

研究者对这个检查器的概括是：它基本信任自己下载到的任何东西，并给这些内容改动 Mac 上任何内容的完整权限。应用本体早就不再更新，这个后台组件却一直在工作。

谁需要现在处理

判断标准只有一条：这台 Mac 上装过 Popcorn Time 或 Time4Popcorn。装过的人现在就去卸载，不用等出现症状；从没装过、或者只在别的设备上看过流媒体的人，跟这条无关，不需要清理系统。有一点要说清——这个分支用 Popcorn Time 的名字分发，很多人根本不知道自己装的是哪一份，名字对不上不代表安全，记得装过的就该查一次。公司或学校里统一装过软件的 Mac 同理，镜像里带过这款播放器的话，卸载要在每台机器上各做一次。

检查器最麻烦的地方是它不等用户打开应用：开机就跑，跑完就睡，普通用户在活动监视器里也未必认得出来。没在用这个播放器，不等于它没在跑。

域名过期之后，风险是怎么来的

Time4Popcorn 的开发团队多年前就弃坑了，检查器要联系的网址陆续到期。域名一旦被别人接手，接管的人就能让检查器去下载他自己的程序，而检查器会照单全收、给出完整权限。

Eye Research 说，目前没有发现有人真的这么做过。这句话说的是没有证据，不是风险不存在：那些过期的地址不会自己变安全。

研究者做了什么，为什么不算修好

研究团队先接管了其中一个被弃用的地址，把这条下载通道握在自己手里，然后借用检查器本身的机制，在超过 100 万台 Mac 和 Windows PC 上把它关掉。这些地址随后交给了非营利网络安全组织 Shadowserver Foundation。

100 万台这个数字值得单独看一眼：它是研究者用检查器自己的通道把检查器关掉的规模，说明这个组件确实曾经活着、并且会接受远程指令。它也说明关闭动作只对研究者掌握的那些地址有效，剩下的设备不在这份统计里。

这个动作只能覆盖他们拿到的地址。Time4Popcorn 里其他漏洞还在，另外一些已经更新的地址也不在研究者的控制范围内。所以 Eye Research 给出的建议是直接卸载，别等补丁。

现在动手，三步

第一步是把 Popcorn Time 从应用程序里删掉，这也是研究人员给出的唯一建议。第二步是打开系统设置里的登录项，看有没有开机自动运行、名字认得出来或认不出来的残留项，把不需要的关掉。

第三步是别装回来。这类非官方播放器常年换皮、换地址、换打包方式，同一个名字背后可能是完全不同的代码，来源分辨不了就等于把权限交出去。要看片，走正规渠道更省事。

这类风险为什么总出现在没人维护的应用上

还在维护的应用出了问题会有补丁，已经没人维护的应用，留下的组件会一直按最后那个版本的行为运行。更新检查器这种设计在上一个十年很常见：它要能在后台常驻、要能自动下载安装，权限给得比一般应用大。

用户这边能控制的只有一件事：不再使用的应用，卸掉，别留在硬盘里。它占的空间不大，后台权限却一直有效。