🛡 MALWARE 🛡

Investigadores lanzan más de 2 millones de actualizaciones para desactivar remotamente el actualizador de Popcorn Time que podría alimentar una botnet.

⏰25 de octubre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

Investigadores lanzan más de 2 millones de actualizaciones para desactivar remotamente el actualizador de Popcorn Time que podría alimentar una botnet.

⟫ 24/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

Entre noviembre de 2025 y marzo de 2026, la firma de ciberseguridad holandesa Eye Security llevó a cabo una operación sin precedentes, enviando más de dos millones de actualizaciones a computadoras que no eran de su propiedad. El objetivo de estas actualizaciones era desactivar un actualizador en segundo plano que, según la empresa, podía haber permitido a un atacante tomar control de las máquinas afectadas.

El actualizador en cuestión es parte de Time4Popcorn, una versión abandonada de Popcorn Time, una aplicación gratuita que permitía la transmisión de películas y series de televisión pirateadas a través de la red BitTorrent. Aunque Popcorn Time alcanzó gran popularidad hace aproximadamente una década, su versión original fue cerrada en 2014. Sin embargo, varias copias del software continuaron operando bajo el mismo nombre. Cabe destacar que un proyecto legal que adoptó el nombre de Popcorn Time a principios de 2025 no guarda relación alguna con la versión abandonada.

Eye Security, que se dedica a monitorizar redes de clientes en busca de amenazas, descubrió el actualizador durante una búsqueda rutinaria de amenazas. Detectaron un programa denominado Updater.exe en un portátil de un cliente que intentaba acceder continuamente a una dirección web que había sido dada de baja. Para investigar, la empresa registró dicha dirección y comenzó a recibir aproximadamente 50 solicitudes por segundo. Posteriormente, Eye Security presentó los detalles de esta operación, a la que denominó Operación IXIM, en un informe y en una charla durante el evento Hack.lu el 22 de octubre.

A lo largo de seis meses, las solicitudes detectadas transportaron más de 3.8 millones de identificadores de hardware diferentes. Sin embargo, Eye Security determinó que esta cifra no era un método fiable para contar las máquinas, ya que algunos PC con Windows compartían un mismo ID y algunos Macs cambiaban el suyo. Tras una revisión, la empresa ajustó su estimación a entre 2.5 y 3 millones de computadoras con Windows y entre 250,000 y 350,000 Macs.

El actualizador funcionaba en segundo plano tanto en Windows como en Mac desde el arranque del sistema operativo. Este programa verificaba la existencia de nuevas versiones a través de una conexión no cifrada y procedía a instalar cualquier archivo que le fuera enviado, operando con el más alto nivel de privilegio, denominado SYSTEM en Windows y root en Mac, sin verificar la autenticidad de la fuente que enviaba los datos.

Dado que las direcciones web que el actualizador intentaba contactar habían sido abandonadas, Eye Security advirtió que cualquier persona que registrara la dirección adecuada podría haber distribuido su propio programa a todas las máquinas que aún lo llamaban. Con acceso a un sistema de este tipo, un atacante podría instalar ransomware, robar contraseñas almacenadas o integrar la computadora en una botnet. Al mapear una muestra de las direcciones conectadas, la firma observó que las solicitudes provenían tanto de usuarios domésticos de todo el mundo como de máquinas en redes gubernamentales, militares y corporativas, aunque reconocieron que "es difícil sacar conclusiones" a partir de estos datos.

La vulnerabilidad fue divulgada por Eye Security en junio y ahora está registrada como CVE-2026-30612. La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) la califica con una puntuación de 9.8 sobre 10. Esta vulnerabilidad afecta a tres versiones del software Time4Popcorn:

- Windows, hasta la versión 6.2.1.18 - Mac, hasta la versión 6.2.1.17 - Android, hasta la versión 3.5.0.173

Sin una empresa responsable que pudiera corregir el software y sin un parche a la vista, Eye decidió utilizar el propio actualizador en su contra. Tras recibir asesoría legal, la firma envió a las máquinas una actualización que tenía un único objetivo: detener y desactivar el actualizador, sin eliminar archivos ni recopilar información.

Eye comparó esta acción con la Operación Ladybird de 2021, en la que la policía holandesa envió una actualización a computadoras infectadas por el botnet Emotet para desactivar el malware. La diferencia, según Eye, radica en que las víctimas de Emotet nunca optaron por ser infectadas, mientras que los usuarios de Popcorn Time instalaron la aplicación por su propia voluntad. Aun así, la firma argumentó que "ninguno de ellos eligió tener un actualizador olvidado funcionando en segundo plano durante años".

Poco después de que comenzaran las actualizaciones, alguien subió la actualización de Eye a VirusTotal, y los motores antivirus empezaron a marcarla como malware, lo que resulta una descripción justa para un programa que desactiva un servicio de Windows. Debido a que cada producto que bloqueaba la actualización dejaba el actualizador vulnerable en funcionamiento, Eye reestructuró el paquete hasta que solo un escáner continuó marcándolo como peligroso.

Para diciembre de 2025, Eye Security había actualizado más de un millón de sistemas y redujo el tráfico a sus direcciones web en aproximadamente un 90%. Para el 1 de marzo, la firma enviaba alrededor de 5,000 actualizaciones diarias, lo que representa una reducción del 98%. Al considerar que los números restantes eran demasiado bajos para atraer la atención de un operador de botnet, Eye decidió detenerse, habiendo enviado más de 2 millones de descargas de actualizaciones en total.

A finales de marzo, Eye cedió las 15 direcciones web que controlaba a la Fundación Shadowserver, una organización sin fines de lucro que se encarga de eliminar dominios abandonados y maliciosos de la circulación, garantizando así que una entidad confiable las administrara en lugar de Eye. Los registros de dominio públicos para una de las direcciones, popcorntimeupd[.]xyz, ahora apuntan a los servidores sinkhole de Shadowserver, con una transferencia fechada el 20 de marzo de 2026. Otras direcciones que el actualizador intenta contactar nunca fueron propiedad de Eye y permanecen con propietarios externos, lo que significa que las máquinas que acceden a ellas siguen expuestas.

Eye no encontró indicios de que alguien más estuviera sirviendo código a través de las direcciones mencionadas; los dominios ya registrados por otras personas estaban aparcados o a la venta, sin enviar actualizaciones a las máquinas que los solicitaban. Hasta la fecha de este informe, la vulnerabilidad no está incluida en el catálogo de CISA de vulnerabilidades conocidas explotadas.

Desactivar el actualizador no garantiza la seguridad de la aplicación. Eye destacó que Popcorn Time opera sobre un motor de navegador de 2014 con su sandbox de seguridad desactivado, carga contenido a través de conexiones no cifradas y recibe código de otras direcciones web abandonadas. La firma también registró esas direcciones desatendidas, lo que, afirmaron, les habría permitido ejecutar su propio código en cada máquina que abría la aplicación. Si bien no lo hicieron, desarrollaron un prototipo funcional, lo que demuestra que el riesgo es real. La actualización solo afectó al actualizador, por lo que el resto de la aplicación sigue siendo peligrosa para aquellos que continúan utilizando Popcorn Time.

La recomendación de Eye es desinstalar Popcorn Time. El actualizador también puede desactivarse manualmente: en Windows, se pueden utilizar dos comandos que detienen y desactivan su "servicio de actualización", mientras que en Mac, se puede usar uno que descarga el asistente PT.updd. Sin embargo, eliminar la aplicación es el paso más seguro, ya que desactivar el actualizador deja el resto de la aplicación en funcionamiento.

Para verificar una red, los defensores pueden buscar los dos archivos del actualizador, Updater.exe en Windows y PT.updd en Mac, así como el tráfico hacia las direcciones web mencionadas en el informe de Eye, que lista todos los 20 dominios y los hashes de los archivos.

◢ MALWARE ◣

Researchers Push Over 2 Million Updates to Remotely Disable Popcorn Time Updater That Could Fuel a Botnet

⟫ 24/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

Between November 2025 and March 2026, the Dutch security firmEye Securitypushed more than 2 million updates to computers it did not own to switch off a background updater that it said could have allowed an outsider to take over the machine. The updater belongs toTime4Popcorn, an abandoned copy of Popcorn Time, a free app that streamed pirated films and TV over BitTorrent. Popcorn Time was popular about a decade ago, and the original shut down in 2014, but several copies kept running under the same name. A separate, legal project that took the Popcorn Time name in early 2025 is unrelated to it. Eye Security, which monitors client networks for threats, found the updater during a routine threat hunt: a program called Updater.exe on one client's laptop kept trying to reach a web address that was no longer registered. The firm registered the address itself to see what would connect, and about 50 requests a second poured in. It later laid out the operation, which it named Operation IXIM, in awrite-upand atalk at Hack.luon October 22. Over six months, those requests carried more than 3.8 million different hardware IDs. The IDs proved an unreliable way to count machines, because some Windows PCs shared one and some Macs changed theirs, so Eye revised its estimate to 2.5 to 3 million Windows computers and 250,000 to 350,000 Macs. The updater ran in the background on Windows and Mac from the moment the computer started. It checked for new versions over an unencrypted connection and installed whatever it was sent, at the highest privilege level, called SYSTEM on Windows and root on Mac, without checking who sent it. Because the web addresses it called had been abandoned, Eye said, anyone who registered the right one could have served their own program to every machine still calling it. On a machine with that access, an attacker could install ransomware, steal saved passwords, or pull the computer into a botnet, Eye said. Mapping a sample of the connecting addresses, the firm said it saw home users around the world, as well as machines on government, military, and corporate networks, though it added that it is "hard to draw conclusions" from that. Eye haddisclosed the flaw, now tracked asCVE-2026-30612, in June. The U.S. Cybersecurity and Infrastructure Security Agency rates it 9.8 out of 10. It affects three versions of the Time4Popcorn software: Windows, up to and including 6.2.1.18 Mac, up to and including 6.2.1.17 Android, up to and including 3.5.0.173 With no company left to fix the software and no patch coming, Eye decided to use the updater against itself. After taking legal advice, it served the machines an update that does one thing: it stops and disables the updater, deleting no files and collecting nothing. Eye compared the step toOperation Ladybirdin 2021, when Dutch police pushed an update to computers infected with the Emotet botnet to disable the malware on them. The difference, Eye said, is that Emotet's victims never chose to be infected, while Popcorn Time's users installed the app themselves. Still, the firm said, "none of them chose to have a forgotten updater running in the background for years." Soon after the updates began, someone uploaded Eye's update to VirusTotal, and antivirus engines started flagging it as malware, a fair description of a program that disables a Windows service. Because every product that blocked it left the vulnerable updater running, Eye reworked the update until only one scanner continued to flag it. By December 2025, Eye had updated more than 1 million systems and cut the traffic to its web addresses by about 90 percent. By March 1, it was sending about 5,000 updates a day, a 98 percent reduction. Judging the remaining numbers too small to interest a botnet operator, Eye stopped, having sent more than 2 million update downloads in all. In late March, Eye handed the 15 web addresses it controlled to theShadowserver Foundation, a non-profit that takes abandoned and malicious domains out of circulation, so a trusted party would hold them rather than Eye. Public registration records for one of them, popcorntimeupd[.]xyz, now point to Shadowserver's sinkhole servers, with a transfer dated March 20, 2026. Other addresses the updater calls were never Eye's to take and remain with outside owners, the firm said, so machines that reach those are still exposed. Eye found no sign that anyone else was serving code through the addresses: the ones already registered by other people were parked or up for sale, not pushing updates to the machines calling them. The flaw is not listed in CISA's catalog of known exploited vulnerabilities as of October 23, 2026. Switching off the updater does not make the app safe. Eye said Popcorn Time runs on a 2014 browser engine with its security sandbox turned off, loads content over unencrypted connections, and pulls in code from other abandoned web addresses. Eye registered those abandoned addresses too, which it said would have let it run its own code on every machine that opened the app. It did not, but it built a working proof of concept, so the risk is real. The update only changed the updater, so the rest of the app remains dangerous for anyone who keeps using Popcorn Time. Eye's advice is to uninstall Popcorn Time. The updater can also be turned off by hand: on Windows with two commands that stop and disable its "Update service," and on a Mac with one that unloads the PT.updd helper. Removing the app is the safer step, because disabling the updater leaves the rest of it in place. Windows: sc.exe stop "Update service" Windows: sc.exe config "Update service" start= disabled Mac: launchctl unload -w /Library/LaunchDaemons/PT.updd.plist On Android, the updater is built into the app and cannot be turned off on its own, and it installs only if the user taps to accept, so Eye did not send updates to Android devices. Removing the app is the only fix there. To check a network, defenders can look for the two updater files, Updater.exe on Windows and PT.updd on Mac, and for traffic to the web addresses in Eye's write-up, which lists all 20 domains and the file hashes.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD