La firma de seguridad neerlandesa Eye Security afirma haber entregado más de 2 millones de descargas de actualizaciones entre noviembre de 2025 y marzo de 2026 para desactivar un actualizador vulnerable que se ejecutaba en segundo plano en equipos que no le pertenecían. El componente pertenecía a Time4Popcorn, una bifurcación abandonada de Popcorn Time cuyo mecanismo de actualización podría permitir a un atacante ejecutar software con privilegios completos del sistema en Windows y Mac.
La operación, denominada Operation IXIM, abordó una vulnerabilidad que ahora se registra como CVE-2026-30612. Eye indica que no hay parche disponible porque el software está abandonado, y recomienda eliminarlo por completo. La investigación no se aplica al proyecto legal independiente que empezó a usar el nombre Popcorn Time a principios de 2025.
Un dominio caducado expuso un canal de actualización privilegiado
Eye descubrió el actualizador durante una búsqueda proactiva de amenazas en el portátil de un cliente. Un proceso llamado Updater.exe intentaba contactar repetidamente con una dirección web no registrada. Tras registrar esa dirección, la empresa recibió unas 50 solicitudes por segundo, según The Hacker News.
Los actualizadores de Windows y Mac se iniciaban automáticamente al arrancar el sistema y buscaban nuevas versiones a través de una conexión sin cifrar. Aceptaban actualizaciones sin autenticar su origen y luego las ejecutaban sin intervención del usuario como NT AUTHORITY\SYSTEM en Windows o como root en Mac. Un atacante capaz de manipular ese tráfico, incluso registrando un dominio de actualización abandonado, podría suministrar una actualización maliciosa.
Eye afirmó que ese acceso podría permitir la instalación de ransomware, el robo de contraseñas o el reclutamiento en una botnet. Se trataba de consecuencias potenciales: la empresa no halló ninguna evidencia de que otra parte estuviera distribuyendo código a través de las direcciones de actualización. Los dominios ya registrados por otros estaban aparcados o a la venta.
Durante seis meses, Eye observó más de 3,8 millones de identificadores de hardware distintos. Esos identificadores no se traducían de forma fiable en un número de equipos: algunos ordenadores con Windows compartían un mismo ID, mientras que algunos Mac cambiaban el suyo. Posteriormente, Eye estimó la población en entre 2,5 y 3 millones de ordenadores con Windows y entre 250.000 y 350.000 Mac.
Una muestra de las direcciones que se conectaban sugería la presencia de usuarios domésticos de todo el mundo y de equipos en redes gubernamentales, militares y corporativas. Eye advirtió que era difícil extraer conclusiones a partir de ese mapeo.
The Hacker News enumera como afectadas las versiones de Time4Popcorn para Windows hasta la 6.2.1.18 incluida, las de Mac hasta la 6.2.1.17 incluida y las de Android hasta la 3.5.0.173 incluida. Según el mismo medio, CISA le asigna una puntuación de gravedad de 9,8 sobre 10. La vulnerabilidad no figuraba en el catálogo de vulnerabilidades explotadas conocidas de CISA a fecha de 23 de octubre de 2026.
Desactivar el actualizador a través de su propia infraestructura
Tras recibir asesoramiento jurídico, Eye utilizó el canal de actualización para distribuir un programa que, según dijo, solo detenía y desactivaba el actualizador, sin borrar archivos ni recopilar datos.
La detección por antivirus complicó la distribución. Después de que alguien subiera la actualización de desactivación a VirusTotal, los motores de seguridad empezaron a marcarla. Eye afirmó que las entregas bloqueadas dejaban activo el actualizador vulnerable, así que revisó el programa hasta que solo un motor seguía detectándolo.
Hacia diciembre de 2025, Eye afirmó haber actualizado más de un millón de sistemas y haber reducido en torno a un 90 % el tráfico hacia sus direcciones controladas. Para el 1 de marzo, las entregas habían caído a unas 5000 actualizaciones diarias, lo que describió como una reducción del 98 %. La empresa se detuvo tras considerar que el volumen restante era demasiado pequeño para atraer a un operador de botnets. Su cifra de más de 2 millones de descargas de actualizaciones no es un recuento verificado de equipos distintos protegidos.
En marzo, Eye transfirió sus quince dominios controlados a la Shadowserver Foundation. Los registros de popcorntimeupd[.]xyz muestran una transferencia el 20 de marzo de 2026 y ahora apuntan a servidores sinkhole de Shadowserver. Otras direcciones de actualización siguieron en manos de terceros, por lo que los equipos que se conectaban a esos destinos seguían expuestos.
Eye presentó la operación en Hack.lu el 22 de octubre.
Eliminar la aplicación sigue siendo la solución recomendada
Desactivar el actualizador deja otras debilidades sin resolver. Eye afirmó que la aplicación usa un motor de navegador de 2014 con su sandbox de seguridad desactivado, recupera contenido a través de conexiones sin cifrar y carga código desde dominios abandonados. La empresa también registró esos dominios y creó una prueba de concepto funcional, pero aseguró que no los usó para ejecutar código en los equipos de los usuarios.
En su aviso sobre Time4Popcorn, Eye recomienda desinstalar el software. Los usuarios de Windows pueden detener y deshabilitar el servicio de actualización con:
sc.exe stop "Update service"
sc.exe config "Update service" start= disabled
En Mac, el ayudante privilegiado puede descargarse con:
launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
En Android, las comprobaciones de actualizaciones solo se realizan al abrir la aplicación, e instalar un APK suministrado requiere la aceptación del usuario. Eye no envió su actualización de desactivación a dispositivos Android. Como ese actualizador está integrado en la aplicación, Eye recomienda eliminar la app por completo.
Para las comprobaciones en los equipos, los responsables de seguridad pueden buscar Updater.exe, normalmente en C:\Program Files (x86)\Popcorn Time\ o C:\Program Files\Popcorn Time\, y el ayudante de Mac en /Library/PrivilegedHelperTools/PT.updd.
