Popcorn Time: el ejército zombi de dispositivos abandonados que casi se convirtió en una botnet

Entre 2014 y hoy, una versión obsoleta de una aplicación que una vez revolucionó la transmisión por torrents y desapareció de las tiendas de aplicaciones siguió funcionando silenciosamente en millones de ordenadores, esperando pasivamente que alguien controlara su defectuoso mecanismo de actualizaciones. Lo que le sucedió a Popcorn Time desde su desaparición — y por qué un equipo de investigadores de seguridad tuvo que tomar medidas tan drásticas para desactivarla — es un retrato fascinante de lo que sucede con el software abandonado cuando nadie asume la responsabilidad.

Qué era Popcorn Time y por qué desapareció

Popcorn Time nació en 2014 como el "Netflix para la piratería": una aplicación que combinaba la interfaz limpia e intuitiva de los servicios de streaming con la infraestructura BitTorrent para descargar y reproducir películas y series al instante. Ganó millones de seguidores por democratizar el acceso al contenido — y millones de problemas legales por distribuir ese contenido sin licencia. A mediados de 2014, el proyecto original fue discontinuado bajo presión jurídica, pero el nombre y la idea siguieron vivos mediante forks y clones.

Uno de estos forks, Time4Popcorn, siguió siendo distribuido como si fuera la versión original, utilizando el mismo nombre y logotipo. El proyecto original había sido abandonado hacía años, pero versiones como Time4Popcorn (que funciona en Windows, macOS y Android) aún se descargaban e instalaban, muchas veces por usuarios que no tenían idea de que estaban ejecutando software abandonado.

El descubrimiento: Updater.exe en un ordenador olvidado

Todo comenzó con una caza de amenazas rutinaria. Investigadores de Eye Security, una empresa de seguridad gestionada (MSSP), notaron un proceso llamado "Updater.exe" ejecutándose en el portátil de un cliente. El proceso intentaba conectarse a un dominio que ya no existía: popcorntimeupd.xyz. Era evidente que se trataba del mecanismo de actualizaciones de algún fork de Popcorn Time.

Lo que los investigadores descubrieron a continuación fue impresionante. El dominio abandonado popcorntimeupd.xyz, inactivo durante años, seguía recibiendo solicitudes constantes de ordenadores de todo el mundo. Para comprender la magnitud del problema, los investigadores registraron el dominio y observaron. En seis meses, recogieron más de 3,8 millones de IDs de hardware diferentes —indicando 3,8 millones de dispositivos con el software instalado y activo. La mitad ejecutando Windows, aproximadamente un 45% macOS y menos del 5% Android.

La vulnerabilidad: CVE-2026-30612

El problema central era el Updater.exe (Windows) y PT.updd (macOS). Ambos funcionaban con privilegios elevados —como servicio SYSTEM en Windows y como root en macOS— y se comunicaban con el servidor de actualizaciones mediante HTTP sin cifrar, sin ninguna verificación de firma digital. Cualquiera que controlara el servidor de actualizaciones podía enviar cualquier ejecutable y se ejecutaría con privilegios completos en el dispositivo.

En un escenario de ataque, esto significaba que un operador de ransomware podría utilizar el Popcorn Time como punto de entrada en redes corporativas, gubernamentales e incluso militares. Contraseñas almacenadas en el dispositivo, credenciales de acceso a sistemas corporativos —todo en riesgo. El impacto sería severo, y los propios investigadores de Eye Security advirtieron: "Si pudiéramos enviar una actualización, podríamos ejecutar código en millones de sistemas."

Operation IXIM: cuando la investigación se convierte en acción

En lugar de simplemente publicar un CVE y esperar que alguien tomara una acción —lo que sería el protocolo normal—, el equipo de Eye Security tomó una decisión extraordinaria: asumir el control del servidor de actualizaciones y, en lugar de enviar malware, desactivar remotamente el mecanismo de actualizaciones de todos los dispositivos conectados.

Entre noviembre de 2025 y marzo de 2026, Eye Research ejecutó la Operation IXIM: registraron los dominios abandonados, interceptaron las solicitudes de actualización y, en lugar de entregar código malicioso, enviaron un script de eliminación que detenía el servicio Updater.exe (Windows) y desactivaba el PT.updd (macOS). El proceso era silencioso e invisible para el usuario —simplemente, el software abandonado dejaba de funcionar.

Los primeros días fueron cautelosos. Los investigadores servían solo IDs de hardware que ya habían visto, una vez cada uno, y redirigían los clientes a HTTPS cuando era posible. Tras unas semanas, relajaron esos límites para alcanzar más sistemas. En total, más de dos millones de actualizaciones de remediación fueron descargadas.

La reacción fue inmediata. Una semana después, 11 proveedores de antivirus ya detectaban la actualización del Eye como malware —lo cual no es sorprendente, ya que el script realmente detenía servicios del sistema operativo y modificaba procesos con privilegios root. VirusTotal lo resumió: "El malware tiene como objetivo y desactiva un servicio de Windows llamado 'Update service'."

Qué nos dice esto sobre el futuro del software

La historia del Popcorn Time y la Operation IXIM plantea una cuestión que la industria tecnológica ha estado ignorando durante años: ¿qué sucede con millones de dispositivos cuando se abandona un software sin un plan de extinción?

El Popcorn Time original fue discontinuado hace más de una década. Sus forks siguen viviendo en ordenadores de usuarios que no saben que están ejecutando software inseguro. El mecanismo de actualizaciones, que supuestamente mantenía el software al día, terminó siendo un vector de riesgo masivo —literalmente un botón de "ejecutar cualquier código" entregado a la puerta de millones de máquinas.

El caso también muestra un nuevo patrón de comportamiento en la ciberseguridad. Cuando el equipo de Eye Security se dio cuenta de que el dominio abandonado era un riesgo, no esperó a que los atacantes lo explotaran primero. En lugar de publicar un advisory y esperar que alguien hiciera algo, asumieron el riesgo de ejecutar código en dispositivos de terceros —lo cual, irónicamente, era más seguro que dejar el Updater.exe funcionando.

La industria de ciberseguridad convivió durante años con la idea de que bastaba con publicar un CVE y esperar que los fabricantes corrigieran el problema. La Operation IXIM demuestra que cuando el software está muerto y nadie más lo mantiene, la responsabilidad recae sobre quien tiene el conocimiento y la capacidad técnica para actuar. ¿Y si el Popcorn Time no fuera el único caso así? ¿Cuántos otros programas obsoletos están funcionando silenciosamente en millones de dispositivos, esperando que un actor malicioso asuma el control de su servidor de actualizaciones?

Fuentes: The Verge, Eye Security Research, BleepingComputer

✓ Fuentes independientes cruzadas y verificadas antes de la publicación