Si todavía tienes instalado Time4Popcorn o una versión antigua de Popcorn Time, lo más seguro es desinstalarlo. Su actualizador descargaba archivos mediante una conexión HTTP sin verificar correctamente su firma, lo que podía permitir la ejecución de código malicioso con privilegios elevados en Windows y macOS.
El problema fue identificado como CVE-2026-30612. Aunque investigadores de Eye Security desactivaron parte del mecanismo vulnerable, la aplicación completa continúa siendo insegura y no existe un proveedor activo que publique una actualización confiable.
Qué ocurrió con el actualizador de Time4Popcorn
Time4Popcorn es una versión derivada de Popcorn Time, el antiguo cliente que permitía reproducir películas y series mediante BitTorrent. No debe confundirse con el proyecto legal que adoptó el nombre Popcorn Time en años recientes. La investigación de Eye Security se refiere a la aplicación abandonada y a sus derivados antiguos.
El actualizador de Windows y macOS se ejecutaba en segundo plano y contactaba con servidores mediante HTTP, un protocolo que no cifra ni autentica adecuadamente la comunicación. Además, aceptaba archivos ejecutables sin comprobar que procedieran de un desarrollador legítimo.
En Windows, el programa podía ejecutarse como NT AUTHORITY\SYSTEM. En macOS, podía hacerlo con permisos de root. En la práctica, un atacante que controlara uno de los dominios utilizados por el actualizador podría haber enviado ransomware, programas para robar contraseñas u otro malware.
Cuántos equipos estaban expuestos
Eye Security observó millones de conexiones procedentes de equipos que todavía tenían instalado el programa, aunque muchos usuarios ya no lo utilizaban. Las estimaciones revisadas apuntaron a entre 2,5 y 3 millones de equipos con Windows y entre 250.000 y 350.000 Mac.
La cifra no significa que todos esos equipos hayan sido infectados. Significa que seguían ejecutando un componente preparado para descargar y ejecutar código sin una verificación de firma suficientemente segura. La diferencia es importante: se trata de una exposición potencial, no de una confirmación de ataque contra cada dispositivo.
Qué hicieron los investigadores
Entre noviembre de 2025 y marzo de 2026, Eye Security aprovechó el propio mecanismo de actualización para enviar una modificación que detenía y desactivaba el actualizador en Windows y macOS. Según la empresa, la intervención no eliminó archivos ni recopiló datos de los equipos.
Posteriormente, parte de la infraestructura fue entregada a Shadowserver Foundation, una organización sin fines de lucro que mantiene bajo control algunos dominios abandonados. Sin embargo, esta medida no convierte a Time4Popcorn en una aplicación segura. El programa utiliza componentes antiguos, conexiones sin cifrar y un motor basado en tecnología de hace más de una década.
Qué debe hacer un usuario afectado
- Desinstala Time4Popcorn y cualquier versión antigua de Popcorn Time. No busques una supuesta actualización en páginas de descargas, foros o repositorios no oficiales.
- Ejecuta un análisis completo con Microsoft Defender u otra solución de seguridad actualizada.
- Cambia tus contraseñas importantes si la aplicación estuvo instalada durante mucho tiempo, especialmente las de correo, banca, redes sociales y gestores de contraseñas.
- Revisa las aplicaciones que se inician con el sistema y elimina cualquier componente relacionado con Popcorn Time.
Eye Security también documentó comandos para desactivar manualmente el servicio en Windows:
En macOS, el comando documentado es:
Estos comandos requieren cuidado y permisos adecuados. Desactivar el actualizador no sustituye a la desinstalación, porque deja otros componentes antiguos de la aplicación en el equipo.
Qué significa para usuarios de Perú
El riesgo no depende de que el equipo esté en Perú, pero sí puede aumentar cuando se utiliza una red Wi-Fi pública, una conexión compartida o un equipo con información laboral y personal mezclada. Una aplicación abandonada que se comunica mediante HTTP no debería permanecer instalada solo porque todavía abre o reproduce contenido.
Si usas Windows 11 y no reconoces un proceso o servicio, puedes revisar también la guía del blog sobre qué hace whesvc y cómo distinguir un servicio legítimo de un rumor de spyware. También conviene consultar la explicación sobre avisos falsos de virus y falsas alertas de seguridad antes de instalar herramientas recomendadas por anuncios emergentes.
En conclusión, el problema de Time4Popcorn no se soluciona simplemente desactivando su actualizador. La medida más segura es eliminar la aplicación, analizar el equipo y evitar cualquier instalador antiguo distribuido fuera de fuentes oficiales.
Fuentes: advisory técnico de Eye Security sobre CVE-2026-30612; informe Operation IXIM de Eye Security; cobertura de The Hacker News.
No hay comentarios.:
Publicar un comentario