Eye Security envió más de dos millones de descargas para desactivar el updater de Time4Popcorn

Eye Security cuenta que usó el actualizador abandonado de Time4Popcorn para desactivarlo en equipos que aún intentaban conectarse a sus servidores. Entre noviembre de 2025 y marzo de 2026, la firma sirvió más de dos millones de descargas de una actualización que detenía el componente y evitaba que arrancara de nuevo. La cifra describe descargas, no dos millones de ordenadores únicos ni infecciones confirmadas.

La operación IXIM, divulgada el 22 de octubre, respondió a CVE-2026-30612, una vulnerabilidad en el actualizador de un fork antiguo de Popcorn Time. Ese programa consultaba dominios abandonados mediante HTTP sin cifrar y ejecutaba las actualizaciones recibidas con privilegios de sistema, sin comprobar una firma. Eye dice que pidió asesoramiento legal antes de actuar; su actualización solo deshabilitaba el updater, sin borrar archivos ni recopilar telemetría.

-SecureCrew dice: dejar un updater con permisos de administrador apuntando a dominios olvidados es delegar el mantenimiento al próximo comprador del nombre.-

Una intervención limitada, no una limpieza completa

El origen fue una búsqueda de amenazas en un equipo de un cliente: Updater.exe seguía llamando a popcorntimeupd.xyz, aunque el dominio ya no estaba registrado. Eye lo registró para observar el tráfico y encontró decenas de solicitudes por segundo. Después reconstruyó la respuesta que esperaba el cliente y comprobó que podía enviar un ejecutable para que el updater lo lanzara; esa prueba estableció capacidad técnica, no que un tercero la hubiera aprovechado.

La conexión insegura era el punto de control: en Windows el código podía ejecutarse como SYSTEM y en macOS como root. La vulnerabilidad afecta a Time4Popcorn hasta 6.2.1.18 en Windows, 6.2.1.17 en macOS y 3.5.0.173 en Android, según Eye Security y la cobertura de The Hacker News. El proyecto llevaba años abandonado y no tiene una actualización correctiva del proveedor.

-SecureCrew dice: la diferencia entre “puede ejecutar código” y “alguien lo ejecutó” cabe en una frase, pero cambia por completo el informe de incidente.-

La corrección no instala una versión segura de la aplicación: detiene y deshabilita el servicio de actualización en Windows y el proceso equivalente en macOS. Android se comporta de otra manera: la aplicación pide confirmación antes de instalar un APK, así que Eye no envió allí su actualización remota. La operación no alcanzó todos los equipos; varios dominios seguían bajo control de terceros y quedaron fuera de lo que Eye podía transferir.

Qué dicen —y qué no dicen— los números

Durante seis meses, Eye observó más de 3,8 millones de identificadores de hardware, pero comprobó que no servían para contar máquinas con precisión. Algunos equipos Windows compartían identificador y en macOS podía cambiar; la firma estima que vio entre 2,5 y 3 millones de equipos Windows y entre 250.000 y 350.000 Mac. Son cálculos de su telemetría, no un censo independiente ni el número de sistemas que recibieron una descarga única.

Eye afirma que en diciembre de 2025 ya había servido más de un millón de actualizaciones; para el 1 de marzo de 2026 enviaba unas 5.000 al día y el tráfico había caído un 98 %. Entonces detuvo la operación. A finales de marzo transfirió a Shadowserver los 15 dominios que había registrado para mantenerlos en sinkhole, una infraestructura que neutraliza conexiones dirigidas a dominios abandonados.

-SecureCrew dice: los contadores de solicitudes también necesitan control de calidad; “millones de IDs” no significa “millones de víctimas”.-

Eye dice que durante su investigación no vio a otros dominios observados servir actualizaciones a los clientes; varios estaban aparcados o a la venta. Eso no demuestra que el riesgo fuera teórico: un dominio que el software aún consulta podría ser reclamado y responder con código. El informe tampoco confirma equipos infectados por un tercero mediante esta vulnerabilidad.

Por qué la recomendación sigue siendo desinstalar

Desactivar el updater cierra solo una ruta. Eye describe la aplicación principal como un cliente basado en un motor de navegador de 2014, con el aislamiento del navegador desactivado, tráfico sin cifrar y código cargado desde otros dominios abandonados. Afirma que creó una prueba de concepto para ejecutar código a través de ese contenido, pero no la desplegó en usuarios. La recomendación publicada es retirar Time4Popcorn, no asumir que la intervención remota vuelve seguro el resto del programa.

Los equipos defensivos pueden buscar Updater.exe en Windows y PT.updd en macOS, además de revisar conexiones a los dominios enumerados por Eye. Encontrar esos componentes ayuda a localizar instalaciones olvidadas, pero no prueba que se ejecutara una carga maliciosa. El nombre Popcorn Time se reutilizó: Eye aclara que su investigación trata sobre Time4Popcorn y no sobre el proyecto legal separado que apareció en 2025.

Diccionario de la Crew

CVE-2026-30612 — Identificador asignado al fallo del actualizador de Time4Popcorn.

SYSTEM — Cuenta integrada de Windows con privilegios muy altos, usada por servicios del sistema.

Root — Cuenta con privilegios administrativos completos en sistemas Unix y macOS.

Sinkhole — Infraestructura que recibe o neutraliza conexiones dirigidas a dominios maliciosos o abandonados.

Fuentes

Eye Research — Operation IXIM | https://labs.eye.security/operation-ixim-preventing-a-botnet-of-millions-of-popcorn-time-users/

The Hacker News | https://thehackernews.com/2026/10/researchers-push-over-2-million-updates.html