Eye Security desactivó a distancia el actualizador vulnerable de Time4Popcorn en Windows y macOS. La intervención en esta variante antigua de Popcorn Time superó los dos millones de descargas y buscó impedir que terceros tomaran el control de los equipos.
La operación IXIM ocurrió entre noviembre de 2025 y marzo de 2026 y se detalló el 22 de octubre. Eye aclara que la investigación excluye al proyecto que empezó a usar el nombre Popcorn Time en 2025.
La firma registró dominios abandonados a los que se conectaba el componente y distribuyó una actualización que lo detuvo y deshabilitó, según su informe.
Qué instalaciones están afectadas
El fallo CVE-2026-30612 permitía descargar ejecutables por HTTP, sin cifrado ni comprobación de firmas. En Windows podían ejecutarse como SYSTEM y en macOS como root, los niveles de privilegio más altos. El registro de la NVD identifica estas versiones afectadas:
- Windows: hasta la 6.2.1.18, incluida.
- macOS: hasta la 6.2.1.17, incluida.
- Android: hasta la 3.5.0.173, incluida.
Según el aviso de Eye, el actualizador de Windows y macOS arrancaba automáticamente con el sistema. Así, dejar de abrir la aplicación no detenía ese proceso.
En Android, la búsqueda de actualizaciones ocurre al abrir la app y la instalación exige aceptar un archivo APK. El actualizador está integrado en la aplicación, por lo que Eye no pudo deshabilitarlo por separado.
Las descargas no equivalen a equipos protegidos
Eye estima que observó entre 2.5 y 3 millones de equipos Windows y entre 250,000 y 350,000 Macs. Algunos identificadores se repetían en Windows y cambiaban en macOS, lo que impide tratar las descargas como un censo de dispositivos.
Al 1 de marzo de 2026, la firma reportó una reducción del 98 % de las solicitudes de actualización a sus dominios. A finales de ese mes transfirió los 15 dominios que controlaba a The Shadowserver Foundation; otros seguían en manos de terceros.
Shadowserver explica que un sinkhole redirige conexiones hacia servidores benignos que permiten observar el tráfico. Esa protección actúa sobre la infraestructura: no retira el software instalado.
La aplicación conserva otros riesgos
Como recoge BleepingComputer, Time4Popcorn usa un motor Chrome de 2014 con el aislamiento de seguridad desactivado. La intervención solo apagó el actualizador y dejó intacta la aplicación.
Por eso, Eye recomienda desinstalar esta variante antigua. Para los equipos de seguridad, su aviso identifica los componentes Updater.exe en Windows y PT.updd en macOS que conviene comprobar al revisar instalaciones olvidadas.
