El actualizador abandonado de Popcorn Time expuso millones de ordenadores a un secuestro remoto, y unos investigadores lo apagaron a distancia
El actualizador de Time4Popcorn pedía código a dominios caducados por HTTP y lo ejecutaba como SYSTEM o root, sin verificar firmas. Eye Security lo descubrió al registrar uno de esos dominios, contó millones de equipos llamando a casa y usó el propio fallo para desactivarlo en más de 2 millones de máquinas.
Eye Security, una firma neerlandesa de ciberseguridad, reveló que el actualizador de Time4Popcorn —una copia abandonada de Popcorn Time, la app de streaming por BitTorrent— dejó expuestos a millones de ordenadores: arrancaba con el sistema, pedía actualizaciones a dominios ya abandonados por una conexión HTTP sin cifrar y ejecutaba lo que recibiera sin comprobar ninguna firma digital.
La falla, registrada como CVE-2026-30612 y calificada con 9,8 sobre 10, afecta a las versiones de Windows hasta la 6.2.1.18, de macOS hasta la 6.2.1.17 y de Android hasta la 3.5.0.173. En Windows el código se ejecutaba como SYSTEM y en Mac como root: quien controlara uno de esos dominios caducados podía instalar lo que quisiera —ransomware, un ladrón de contraseñas o una botnet— sin que el usuario tocara nada.
Eye llegó al problema en una búsqueda rutinaria de amenazas: un programa llamado Updater.exe insistía en contactar un dominio sin registrar. La firma lo registró y empezaron a llegar unas 50 peticiones por segundo. En seis meses contó más de 3,8 millones de identificadores de hardware y estima entre 2,5 y 3 millones de equipos Windows y entre 250.000 y 350.000 Mac, incluidos equipos en redes corporativas, gubernamentales y militares, casi todos con la app instalada y olvidada.
Sin empresa detrás a la que pedir un parche, Eye usó el propio actualizador contra sí mismo. Entre noviembre de 2025 y marzo de 2026 envió más de 2 millones de actualizaciones que solo apagaban y desactivaban ese mecanismo, sin recoger datos ni borrar archivos. Las peticiones a sus dominios cayeron un 98% y a finales de marzo entregó los 15 dominios que controlaba a The Shadowserver Foundation para dejarlos neutralizados.
El riesgo no está cerrado del todo: una revisión del 26 de octubre encontró 3 de los 20 dominios del actualizador fuera de ese control, y en Android el mecanismo no se puede apagar a distancia. Además, la app corre sobre un motor Chrome de 2014 sin aislamiento. La recomendación de Eye es tajante: desinstalar Time4Popcorn por completo, no solo desactivar su actualizador.
Comentarios
Sé el primero en comentar.
Sigue leyendo
Ciberseguridad
PostgreSQL tapa 52 agujeros de golpe: un fallo de 22 años permitía ejecutar código en el servidor
PostgreSQL acaba de cerrar 52 vulnerabilidades de una vez, 32 de ellas con nota 8,8. Una llevaba 22 años escondida en el código: ¿ya parcheaste tu base de datos?
Ciberseguridad
El firewall era la puerta: un zero-day de Check Point da root a los atacantes, planta el backdoor TSGA y borra servidores ESXi
Un zero-day de Check Point ya se explota para llegar a root, plantar un backdoor y borrar servidores ESXi. Hay parche de emergencia: ¿llegó a tu gateway?
Ciberseguridad
Operation TorNado: 354 detenidos en 14 países y 234 millones incautados en la mayor redada contra la dark web
354 detenidos, 5,7 toneladas de droga y 234 millones incautados: la mayor redada contra la dark web ya es oficial. ¿Creías que ahí nadie te encuentra?