Detalles de la vulnerabilidad de seguridad
Investigadores de la empresa Eye Security revelaron una vulnerabilidad crítica, con el código CVE-2026-30612, en la aplicación Time4Popcorn, una versión derivada del popular programa de intercambio de archivos Popcorn Time. El problema radica en el mecanismo de actualización de la aplicación, que se conectaba a un dominio abandonado (popcorntimeupd.xyz) a través del protocolo HTTP sin cifrar, aceptando archivos ejecutables sin verificar sus firmas digitales.
Este fallo otorgaba a cualquier entidad que controlara dicho dominio la capacidad de manipular el tráfico de datos y ejecutar código malicioso con privilegios de SYSTEM en sistemas Windows, y con privilegios de root en sistemas macOS, lo que ponía a millones de dispositivos en riesgo directo.
Proceso de remediación y neutralización
Tras descubrir los riesgos, Eye Security registró el dominio abandonado y otros 14 dominios vinculados al servicio. Entre noviembre de 2025 y marzo de 2026, los investigadores utilizaron el mismo mecanismo de actualización para enviar un código de "parche" que detuvo y deshabilitó la herramienta de actualización en la aplicación de los usuarios. Los investigadores confirmaron que esta operación no recopiló datos personales ni archivos, limitándose únicamente a cerrar la vulnerabilidad de seguridad.
Para el primero de marzo de este año, las solicitudes de conexión al dominio de actualización disminuyeron en un 98%, y la propiedad de los dominios fue transferida posteriormente a la organización sin fines de lucro The Shadowserver Foundation para garantizar su protección continua.
¿Qué significa esto para los usuarios?
A pesar del éxito de la operación de neutralización, los investigadores advierten que el peligro no ha desaparecido por completo por varias razones:
- Usuarios de Android: Las versiones de la aplicación en teléfonos inteligentes siguen estando en riesgo, ya que las actualizaciones requieren interacción manual del usuario y los investigadores no pudieron desactivarlas de forma remota.
- Motor de navegador antiguo: La aplicación utiliza un motor de Chrome que data de 2014, el cual carece de tecnologías de protección modernas (Sandbox), lo que lo convierte en un objetivo fácil de explotar.
- Aplicaciones olvidadas: Los datos mostraron que millones de dispositivos (incluidas redes gubernamentales y militares) estaban conectados al servicio a pesar de no utilizar la aplicación realmente, lo que significa que existen programas antiguos sin supervisión en dispositivos sensibles.
Recomendación técnica: La única forma de garantizar la seguridad es eliminar la aplicación por completo de todos los sistemas de inmediato.