Una aplicación derivada de Popcorn Time, olvidada en numerosos equipos, contenía una vulnerabilidad crítica que podría haber permitido distribuir malware mediante actualizaciones falsas. Investigadores de seguridad neutralizaron el mecanismo vulnerable antes de que, según indican, fuera aprovechado por actores maliciosos.
El problema afectaba a Time4Popcorn, una versión derivada de Popcorn Time que dejó de recibir mantenimiento, pero que todavía permanecía instalada en muchos dispositivos. Su sistema de actualización intentaba conectarse al dominio abandonado popcorntimeupd.xyz mediante HTTP, una conexión sin cifrado, y aceptaba archivos ejecutables sin comprobar su firma digital.
La vulnerabilidad, identificada como CVE-2026-30612, recibió una puntuación de gravedad de 9,8 sobre 10. En teoría, quien controlara el dominio podía colocar allí un archivo malicioso y hacer que la aplicación lo descargara y ejecutara en los equipos que aún buscaran actualizaciones.
## Una aplicación de streaming basada en torrents
Popcorn Time alcanzó gran popularidad hace aproximadamente una década al ofrecer una interfaz similar a la de un servicio de streaming. En lugar de reproducir películas desde servidores propios, utilizaba la tecnología de torrents, que distribuye fragmentos de archivos entre varios equipos conectados a una red.
La aplicación simplificaba el proceso para los usuarios: permitía buscar y reproducir contenido sin tener que descargar por separado un cliente de torrents y localizar archivos .torrent. Tras el cierre del proyecto original, surgieron distintas versiones derivadas, entre ellas Time4Popcorn.
## Cómo se cerró la brecha
La empresa de ciberseguridad Eye Security registró el dominio abandonado y observó conexiones de hasta tres millones de clientes de Windows y 350.000 de macOS. Entre los sistemas detectados había equipos conectados a redes residenciales, corporativas, gubernamentales y militares. Los investigadores creen que, en muchos casos, la aplicación llevaba tiempo instalada, aunque ya no se utilizaba.
En vez de enviar software malicioso, Eye Security publicó una actualización destinada a detener y desactivar el mecanismo vulnerable. Según la empresa, no eliminó la aplicación ni recopiló datos de los equipos; la intervención únicamente impidió que el programa siguiera buscando actualizaciones en el dominio afectado.
La operación se llevó a cabo entre noviembre de 2025 y marzo de 2026. Al finalizar, las solicitudes al dominio habían disminuido un 98 %. Eye Security indicó que parte del tráfico restante parecía proceder de dispositivos Android, que podrían seguir expuestos.
Tras la intervención, los investigadores transfirieron el dominio y otros 14 que habían registrado a la organización Shadowserver Foundation. Aun así, recomiendan desinstalar Time4Popcorn: una aplicación abandonada puede seguir representando un riesgo incluso si ya no se usa.
La vulnerabilidad pone de relieve un peligro frecuente en el software sin mantenimiento: los mecanismos de actualización inseguros pueden convertir un programa olvidado en una vía para comprometer numerosos equipos.
from Latest from TechRadar https://ift.tt/X24K6Sp
via IFTTT IA
