Popcorn Time, dado por muerto, estuvo a punto de resucitar como botnet en millones de equipos

Una versión abandonada de Popcorn Time mantuvo durante años en millones de ordenadores un mecanismo por el que se podía ejecutar código de forma sigilosa con los máximos privilegios del sistema. Los especialistas de Eye Security interceptaron parte de la antigua infraestructura de actualizaciones y desactivaron el actualizador en más de dos millones de sistemas, antes de que los atacantes pudieran aprovechar la vulnerabilidad. Sin intervención, las instalaciones antiguas podrían haber servido como base de una enorme botnet.

El problema se descubrió casi por casualidad. En uno de los ordenadores seguía funcionando Updater.exe de Time4Popcorn, una rama antigua de Popcorn Time que muchos usuarios instalaron hace unos diez años y hace tiempo olvidaron. El programa intentaba consultar regularmente popcorntimeupd.xyz, aunque ya no había nadie manteniendo el dominio. Los investigadores registraron la dirección y enseguida vieron alrededor de 50 peticiones por segundo.

En seis meses el servidor recibió peticiones con 3,8 millones de identificadores distintos. Más tarde resultó que no se pueden contar ordenadores directamente a partir de esos identificadores: Windows a veces asignaba un mismo identificador a varias máquinas, y macOS podía cambiarlo en un mismo dispositivo. Al final los investigadores estimaron la audiencia del cliente vulnerable en aproximadamente 2,5–3 millones de ordenadores con Windows y otros 250–350 mil dispositivos con macOS. Las peticiones procedían principalmente de redes domésticas, pero entre las direcciones había redes corporativas, gubernamentales y militares de varios países.

La principal amenaza residía en el propio actualizador. El programa consultaba al servidor si había una nueva versión mediante HTTP sin cifrar. El servidor podía devolver un enlace a un archivo ejecutable, tras lo cual el cliente lo descargaba y lo ejecutaba sin comprobar la firma digital. En Windows el código obtenía los privilegios NT AUTHORITY\SYSTEM, y en macOS los de root. El usuario no tenía que pulsar nada. A la vulnerabilidad se le asignó el número CVE-2026-30612.

En Android el mecanismo funcionaba de forma distinta. La aplicación comprobaba actualizaciones solo tras iniciarse y pedía al propietario confirmar la instalación del APK, por lo que no era posible ejecutar código de forma silenciosa con el mismo método.

No había quien parcheara Time4Popcorn de la forma habitual: los desarrolladores abandonaron el proyecto hace tiempo y algunos dominios de actualizaciones quedaron libres o pasaron a otros propietarios. Por eso los investigadores recurrieron al mismo mecanismo que creaba la amenaza. Desde noviembre de 2025 los clientes vulnerables de Windows y macOS empezaron a recibir un pequeño archivo que detenía el servicio antiguo de actualizaciones y le impedía volver a iniciarse. El programa no tocó archivos de usuarios ni recopiló telemetría.

Un mes después más de un millón de sistemas recibieron la actualización, tras lo cual el número de peticiones a los dominios controlados cayó aproximadamente un 90%. A comienzos de marzo el flujo se redujo un 98%, y el número total de actualizaciones suministradas superó los dos millones. Luego los especialistas cesaron el envío y entregaron 15 dominios que habían registrado a la Shadowserver Foundation, para que los operadores de redes maliciosas no pudieran utilizarlos.

La desactivación del actualizador no hace que el antiguo Time4Popcorn sea seguro. La aplicación se ejecuta sobre el motor de navegador Chrome de 2014 con la sandbox desactivada, obtiene parte de los datos por HTTP y consulta dominios abandonados desde hace tiempo. Los investigadores incluso prepararon una demostración de ejecución de calc.exe mediante JavaScript. Por eso se recomienda a los propietarios de la versión antigua eliminar completamente el programa. Los investigadores excluyeron por separado al proyecto que usa el nombre Popcorn Time desde 2025 de esta historia.