Empresa de seguridad desactiva remotamente el actualizador de millones de instalaciones abandonadas de Popcorn Time

Entre noviembre de 2025 y marzo de 2026, la firma de seguridad holandesa Eye Security ejecutó una intervención remota a gran escala para neutralizar una vulnerabilidad crítica en software abandonado. La empresa envió más de dos millones de actualizaciones a ordenadores que no le pertenecían, dirigidas a un actualizador en segundo plano dentro de Time4Popcorn, una copia no oficial de la ya desaparecida aplicación de streaming Popcorn Time. Esta operación tenía como objetivo evitar que actores maliciosos secuestraran estas máquinas mediante un mecanismo de actualización sin parches.

Qué ocurrió

Eye Security descubrió la vulnerabilidad durante una búsqueda rutinaria de amenazas cuando los analistas observaron un programa llamado Updater.exe en un portátil de cliente intentando conectar con una dirección web no registrada. Tras registrar ellos mismos el dominio, el equipo observó aproximadamente 50 solicitudes por segundo desde diversos dispositivos. Durante seis meses, estas solicitudes contenían más de 3,8 millones de identificadores únicos de hardware. Después de ajustar los IDs duplicados en PCs Windows y los IDs cambiantes en Macs, Eye estimó que entre 2,5 y 3 millones de ordenadores Windows y entre 250.000 y 350.000 Macs estaban afectados.

El actualizador se ejecutaba con privilegios elevados, conocidos como SYSTEM en Windows y root en Mac, e instalaba cualquier contenido enviado a través de una conexión no cifrada sin verificar al remitente. Dado que los dominios originales habían sido abandonados, cualquiera que los registrara podría haber distribuido malware, ransomware o clientes de botnet a todas las máquinas conectadas. Eye Security identificó dispositivos afectados tanto en redes domésticas como en infraestructuras gubernamentales, militares y corporativas, aunque señaló que es difícil sacar conclusiones sobre la naturaleza específica de esas conexiones empresariales.

Para mitigar el riesgo, Eye Security lanzó la Operación IXIM. Tras consultar con asesores legales, utilizaron el propio actualizador vulnerable para entregar un parche que simplemente detenía y deshabilitaba el servicio. No eliminaron archivos ni recopilaron datos de usuario. Para diciembre de 2025, habían actualizado más de un millón de sistemas, reduciendo el tráfico hacia sus direcciones controladas en un 90 %. Para el 1 de marzo de 2026, las actualizaciones diarias cayeron a alrededor de 5.000, una reducción del 98 %. Considerando que la huella restante era demasiado pequeña para atraer a operadores de botnets, Eye cesó las operaciones tras enviar más de dos millones de actualizaciones.

Cómo funciona

La vulnerabilidad, rastreada como CVE-2026-30612, surge de la forma en que el actualizador de Time4Popcorn se comunica. Comprueba nuevas versiones utilizando HTTP simple, lo que significa que los datos no están cifrados. Más críticamente, carece de verificación de firma, por lo que acepta y ejecuta cualquier binario entregado en la URL especificada. Este diseño permite un ataque de intermediario (man-in-the-middle) o, en este caso, un ataque de toma de control de dominio. Si un atacante controla el dominio que consulta el actualizador, controla el código que se ejecuta en la máquina cliente.

Eye Security explotó esta misma falta de verificación para corregir el problema. Registraron los dominios abandonados y sirvieron un paquete de actualización benigno. Este paquete contenía instrucciones para detener el "Update service" en Windows y descargar el helper en Mac. El proceso se complicó debido al software antivirus, que marcó el comportamiento como malicioso porque implicaba deshabilitar un servicio del sistema. Eye tuvo que ajustar iterativamente su paquete de actualización para evadir la detección de todos menos un escáner, asegurando que el parche pudiera realmente instalarse y deshabilitar el componente vulnerable.

Detalles clave

• La vulnerabilidad afecta a las versiones de Time4Popcorn hasta la 6.2.1.18 en Windows, la 6.2.1.17 en Mac y la 3.5.0.173 en Android.
• CISA califica la severidad de CVE-2026-30612 en 9,8 sobre 10 debido a la facilidad de explotación y el acceso con altos privilegios.
• Eye Security transfirió el control de 15 direcciones web a la Shadowserver Foundation a finales de marzo de 2026 para garantizar un manejo seguro continuo.
• La actualización no corrigió la aplicación principal, que sigue utilizando un motor de navegador de 2014 sin sandbox de seguridad y carga contenido a través de conexiones no cifradas.
• Los dispositivos Android no fueron parcheados remotamente porque el actualizador requiere la aceptación manual del usuario para la instalación, a diferencia de las actualizaciones silenciosas en segundo plano en los sistemas operativos de escritorio.
• A fecha de 23 de octubre de 2026, este fallo no figura en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Por qué importa

Este incidente destaca el peligro persistente de las cadenas de suministro de software abandonadas. Cuando un proyecto se discontinúa, su infraestructura suele deteriorarse, dejando puertas abiertas para los atacantes. Para desarrolladores y líderes de TI, esto sirve como un claro recordatorio de que las dependencias y herramientas de terceros deben ser monitoreadas incluso después de que el desarrollo activo cese. El hecho de que redes corporativas y gubernamentales estuvieran entre los sistemas afectados demuestra que el software no oficial o heredado puede persistir en entornos empresariales mucho tiempo después de que debería haber sido eliminado.

Además, la complejidad ética y técnica de la remediación "white hat" es evidente. Eye Security tuvo que equilibrar riesgos legales, falsos positivos de antivirus y la magnitud del despliegue. Su éxito dependía de la misma falla que estaban corrigiendo: la falta de verificación. En un sistema más seguro, su parche habría sido rechazado igual que cualquier otro código no autorizado. Esta paradoja subraya la importancia de las actualizaciones firmadas y el certificate pinning en la arquitectura de software moderna.

Qué puedes hacer

• Desinstala Popcorn Time o Time4Popcorn inmediatamente, ya que deshabilitar el actualizador no asegura el resto de la aplicación.
• En Windows, deshabilita manualmente el actualizador ejecutando sc.exe stop "Update service" seguido de sc.exe config "Update service" start= disabled.
• En Mac, descarga el proceso helper ejecutando launchctl unload -w /Library/LaunchDaemons/PT.updd.plist.
• Escanea tu red buscando tráfico hacia los 20 dominios listados en el informe de Eye Security o la presencia de archivos Updater.exe y PT.updd.
• Revisa el inventario de software de tu organización para identificar otras aplicaciones abandonadas que puedan depender de mecanismos de actualización no verificados.
• Asegúrate de que todas las aplicaciones internas y externas utilicen actualizaciones firmadas y HTTPS con certificate pinning para prevenir ataques similares de toma de control de dominio.