Entre noviembre de 2025 y marzo de 2026, la empresa neerlandesa de seguridad Eye Security envió más de dos millones de actualizaciones a computadoras que no le pertenecían con el objetivo de desactivar un actualizador en segundo plano que, según la compañía, habría permitido a un tercero tomar el control de los equipos afectados.
Ese actualizador forma parte de Time4Popcorn, una copia abandonada de Popcorn Time, la aplicación gratuita que distribuía películas y series pirateadas mediante BitTorrent. Popcorn Time fue muy popular hace aproximadamente una década y su versión original cesó su actividad en 2014, aunque varias réplicas continuaron operando bajo el mismo nombre. Un proyecto legal independiente que adoptó la denominación Popcorn Time a comienzos de 2025 no guarda relación con este caso.
El hallazgo durante una caza de amenazas
Eye Security, dedicada a vigilar las redes de sus clientes en busca de amenazas, localizó el actualizador durante una revisión rutinaria: un programa llamado Updater.exe en la laptop de un cliente intentaba conectarse de forma insistente a una dirección web que ya no estaba registrada.
La empresa registró ella misma esa dirección para comprobar qué dispositivos se conectarían y recibió alrededor de 50 solicitudes por segundo. Más tarde detalló la operación, a la que denominó Operation IXIM, en un informe y en una ponencia presentada en Hack.lu el 22 de octubre.
A lo largo de seis meses, esas solicitudes incluyeron más de 3,8 millones de identificadores de hardware distintos. Dado que los identificadores resultaron poco fiables para contar equipos —algunos PC con Windows compartían uno y ciertos Mac lo cambiaban—, Eye revisó su cálculo y estimó entre 2,5 y 3 millones de computadoras Windows y entre 250.000 y 350.000 Mac.
Privilegios máximos sin verificación
El actualizador se ejecutaba en segundo plano en Windows y Mac desde el arranque del equipo. Comprobaba la existencia de nuevas versiones mediante una conexión sin cifrar e instalaba sin más lo que recibiera, con el máximo nivel de privilegios —SYSTEM en Windows y root en Mac—, sin verificar quién lo enviaba.
Según Eye, como las direcciones web a las que llamaba habían sido abandonadas, cualquiera que registrara la correcta habría podido servir su propio programa a todas las máquinas que siguieran consultándola.
En un equipo con ese nivel de acceso, un atacante podría instalar ransomware, robar contraseñas guardadas o incorporar la computadora a una botnet, indicó la firma. Al mapear una muestra de las direcciones conectadas, Eye afirmó haber observado usuarios domésticos de todo el mundo, así como equipos en redes gubernamentales, militares y corporativas, aunque matizó que es «difícil sacar conclusiones» de ello.
Una vulnerabilidad crítica sin parche posible
Eye había divulgado el fallo, ahora identificado como CVE-2026-30612, en junio. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) lo puntúa con 9,8 sobre 10. Afecta a tres versiones del software Time4Popcorn:
- Windows, hasta la versión 6.2.1.18 inclusive
- Mac, hasta la versión 6.2.1.17 inclusive
- Android, hasta la versión 3.5.0.173 inclusive
Usar el actualizador contra sí mismo
Sin una empresa que pudiera corregir el software ni un parche en camino, Eye decidió emplear el actualizador en su propio beneficio. Tras recibir asesoramiento legal, envió a las máquinas una actualización que hace una sola cosa: detener y desactivar el actualizador, sin borrar archivos ni recopilar información alguna.
Eye comparó esta medida con la Operation Ladybird de 2021, cuando la policía neerlandesa distribuyó una actualización a los equipos infectados por la botnet Emotet para desactivar el malware.
La diferencia, según Eye, es que las víctimas de Emotet nunca eligieron infectarse, mientras que los usuarios de Popcorn Time instalaron la aplicación por voluntad propia. Aun así, la firma sostuvo que «ninguno de ellos eligió tener un actualizador olvidado ejecutándose en segundo plano durante años».
Poco después de iniciarse los envíos, alguien subió la actualización de Eye a VirusTotal y los motores antivirus comenzaron a marcarla como malware, una descripción razonable para un programa que desactiva un servicio de Windows. Dado que cada producto que la bloqueaba dejaba activo el actualizador vulnerable, Eye reelaboró la actualización hasta que solo un escáner siguió detectándola.
En diciembre de 2025, Eye ya había actualizado más de un millón de sistemas y había reducido el tráfico hacia sus direcciones web en torno al 90 %. Para el 1 de marzo enviaba unas 5.000 actualizaciones diarias, un 98 % menos. Al considerar que las cifras restantes eran demasiado pequeñas para interesar a un operador de botnet, Eye detuvo la campaña tras haber distribuido más de dos millones de descargas de la actualización.
A finales de marzo, Eye transfirió las 15 direcciones web que controlaba a la Shadowserver Foundation, una organización sin ánimo de lucro que retira de circulación dominios abandonados y maliciosos, para que fuera una entidad de confianza y no Eye quien las custodiara.
Los registros públicos de una de ellas, popcorntimeupd[.]xyz, apuntan ahora a los servidores sinkhole de Shadowserver, con una transferencia fechada el 20 de marzo de 2026. Otras direcciones a las que llama el actualizador nunca estuvieron bajo control de Eye y siguen en manos de terceros, según la firma, por lo que las máquinas que las consultan continúan expuestas.
Eye no encontró indicios de que nadie más estuviera sirviendo código a través de esas direcciones: las que ya habían registrado otras personas estaban aparcadas o en venta, sin enviar actualizaciones a los equipos que las consultaban. A fecha del 23 de octubre de 2026, el fallo no figura en el catálogo de vulnerabilidades explotadas conocidas de CISA.
Qué deben hacer los usuarios de Popcorn Time
Desactivar el actualizador no hace que la aplicación sea segura. Según Eye, Popcorn Time funciona sobre un motor de navegador de 2014 con el aislamiento de seguridad desactivado, carga contenido mediante conexiones sin cifrar y descarga código desde otras direcciones web abandonadas.
Eye también registró esas direcciones abandonadas, lo que, según afirmó, le habría permitido ejecutar código propio en cada máquina que abriera la aplicación. No lo hizo, pero desarrolló una prueba de concepto funcional, de modo que el riesgo es real. La actualización solo modificó el actualizador, por lo que el resto de la aplicación sigue siendo peligroso para quienes continúen usando Popcorn Time.
La recomendación de Eye es desinstalar Popcorn Time. El actualizador también puede desactivarse manualmente: en Windows con dos comandos que detienen y deshabilitan su «Update service», y en Mac con uno que descarga el asistente PT.updd. Eliminar la aplicación es la opción más segura, ya que desactivar el actualizador deja el resto intacto.
- Windows: sc.exe stop "Update service"
- Windows: sc.exe config "Update service" start= disabled
- Mac: launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
En Android, el actualizador está integrado en la aplicación y no puede desactivarse por separado; además, solo se instala si el usuario pulsa para aceptarlo, por lo que Eye no envió actualizaciones a dispositivos Android. Ahí la única solución es eliminar la aplicación.
Para inspeccionar una red, los defensores pueden buscar los dos archivos del actualizador —Updater.exe en Windows y PT.updd en Mac— y el tráfico hacia las direcciones web recogidas en el informe de Eye, que enumera los 20 dominios y los hashes de los archivos.
Deja una respuesta