El actualizador abandonado de Popcorn Time dejó millones de equipos expuestos

Popcorn Time, la aplicación basada en BitTorrent para ver películas y series piratas, cerró oficialmente en 2014. Sus copias, sin embargo, siguieron circulando. Una de ellas, Time4Popcorn, todavía incluye un actualizador en segundo plano que contacta con un conjunto de dominios web que ya nadie mantiene, una debilidad crítica registrada ahora como CVE-2026-30612 con una puntuación CVSS de 9.8.

Entre noviembre de 2025 y marzo de 2026, una empresa de seguridad neerlandesa dio un paso poco habitual: envió más de 2 millones de actualizaciones a ordenadores que no le pertenecían, con un único objetivo, apagar ese actualizador.

Qué ocurrió

El problema salió a la luz durante una búsqueda rutinaria de amenazas, cuando un programa llamado Updater.exe en un portátil corporativo intentaba una y otra vez conectarse a uno de esos dominios. El actualizador confía en todo lo que recibe de esas direcciones, así que quien las controle puede ejecutar código en cada equipo que siga conectándose. Con ese nivel de acceso, un atacante podría desplegar ransomware, robar contraseñas guardadas o sumar el equipo a una botnet. Una muestra de los sistemas que se conectaban incluía usuarios domésticos de todo el mundo, además de equipos en redes gubernamentales, militares y corporativas, aunque los investigadores advirtieron que es difícil sacar conclusiones firmes de esa muestra.

Versiones de Time4Popcorn afectadas:

• Windows hasta la 6.2.1.18 incluida
• macOS hasta la 6.2.1.17 incluida
• Android hasta la 3.5.0.173 incluida

Sin un fabricante que publicara un parche, los investigadores, tras recibir asesoramiento legal, registraron los dominios abandonados y usaron el actualizador contra sí mismo. Su actualización hace una sola cosa: detiene y desactiva el actualizador. No borra archivos ni recopila datos. El enfoque recuerda a la operación contra Emotet de 2021, cuando la policía neerlandesa envió una actualización a los equipos infectados para neutralizar el malware, con la diferencia de que los usuarios de Popcorn Time instalaron la aplicación por voluntad propia.

Al principio, varios antivirus marcaron la actualización como maliciosa (con razón, ya que desactiva un servicio de Windows), lo que dejaba activo el actualizador vulnerable en esos sistemas. La actualización se rehízo hasta que casi ningún motor la detectaba. En diciembre de 2025 ya se habían actualizado más de 1 millón de sistemas y el tráfico hacia los dominios había caído cerca de un 90 %; a principios de marzo la reducción llegaba al 98 % y la campaña se detuvo. A finales de marzo, los 15 dominios que controlaban los investigadores se entregaron a una organización sin ánimo de lucro que neutraliza (sinkhole) dominios abandonados y maliciosos.

Por qué importa

El riesgo no ha desaparecido del todo. Otros dominios a los que llama el actualizador pertenecen a terceros y nunca se recuperaron, por lo que los equipos que llegan a ellos siguen expuestos. Por ahora no hay indicios de que nadie esté sirviendo código malicioso a través de ellos (parecen aparcados o a la venta) y no se ha informado de explotación activa. Eso puede cambiar en cuanto alguien compre uno de esos dominios.

Desactivar el actualizador tampoco hace segura la aplicación. Popcorn Time funciona sobre un motor de navegador de 2014 con el sandbox de seguridad desactivado, carga contenido mediante conexiones sin cifrar y descarga código de otros dominios abandonados, una vía que los investigadores demostraron explotable con una prueba de concepto funcional. En Android, el actualizador está integrado en la aplicación y no se pudo desactivar a distancia.

Qué hacer

• Desinstale Popcorn Time / Time4Popcorn en todas las plataformas. En Android, eliminar la aplicación es la única solución.
• Si la desinstalación tiene que esperar, desactive el actualizador manualmente:
  • Windows: sc.exe stop "Update service" y sc.exe config "Update service" start= disabled
  • macOS: launchctl unload -w /Library/LaunchDaemons/PT.updd.plist
• Búsquelo en su red: compruebe la presencia de Updater.exe en Windows y PT.updd en macOS, así como tráfico DNS o web hacia los dominios del actualizador, usando los indicadores de compromiso publicados.
• Aplique una lista de aplicaciones permitidas para que el software no autorizado o sin soporte no llegue a los equipos gestionados.

El software abandonado que conserva un canal de actualización activo es justo el tipo de riesgo silencioso que se escapa de los inventarios de activos. El servicio de escaneo de vulnerabilidades de nuestro equipo detecta aplicaciones obsoletas y sin soporte en estaciones de trabajo y servidores, para que problemas como este se encuentren y eliminen antes de que otro tome el control del canal de actualización.