Investigadores de seguridad desactivan el actualizador vulnerable de Popcorn Time en 2 millones de dispositivos
La empresa neerlandesa Eye Security envió actualizaciones no solicitadas para desactivar un actualizador en segundo plano riesgoso. El componente vulnerable pertenecía a Time4Popcorn, una aplicación de streaming por torrents ya descontinuada.
Resumen
- Más de 2 millones de dispositivos recibieron actualizaciones forzadas para desactivar un actualizador vulnerable de Popcorn Time.
- El actualizador formaba parte de Time4Popcorn, una aplicación de streaming por BitTorrent abandonada.
- Su explotación podría haber llevado al control remoto de los dispositivos por parte de atacantes.
- Eye Security actuó sin el consentimiento del usuario para prevenir la posible formación de una botnet.
- Destaca los riesgos del software de terceros obsoleto en entornos empresariales.
En un movimiento sin precedentes entre noviembre de 2025 y marzo de 2026, la empresa neerlandesa de ciberseguridad Eye Security implementó de forma remota más de dos millones de actualizaciones en dispositivos que no le pertenecían. El objetivo era desactivar un componente del actualizador en segundo plano de Time4Popcorn — una versión abandonada de la aplicación de streaming multimedia basada en torrents Popcorn Time — que representaba un riesgo significativo para la seguridad.
La vulnerabilidad del actualizador podría haber permitido a actores maliciosos ejecutar código arbitrario y potencialmente tomar el control de las máquinas afectadas. Con millones de instalaciones aún activas, esta falla ofrecía una oportunidad ideal para reclutar dispositivos a gran escala en una botnet. Al distribuir estas actualizaciones no solicitadas, Eye Security neutralizó efectivamente una bomba de relojería en innumerables sistemas sin parchear.
Antecedentes sobre el riesgo de Time4Popcorn
- Time4Popcorn es una bifurcación no oficial de Popcorn Time que transmite contenido pirateado mediante BitTorrent.
- Su actualizador automático se ejecutaba silenciosamente en segundo plano en los sistemas de los usuarios.
- El actualizador carecía de autenticación adecuada y canales seguros de comunicación.
- Esto permitía a los atacantes servir actualizaciones maliciosas y obtener acceso remoto.
- Dado que el proyecto fue abandonado, no se esperaban parches oficiales.
¿Hackeo ético o exceso de poder?
- Eye Security actuó sin permiso explícito de los propietarios de los dispositivos.
- Su intervención evitó una posible explotación pero ignoró los modelos estándar de consentimiento.
- La acción plantea dudas sobre la defensa proactiva frente a modificaciones no autorizadas en sistemas ajenos.
- Durante el proceso de actualización no se accedió ni recopiló ningún dato de usuario.
- Los expertos del sector están divididos respecto a si tales acciones deberían normalizarse.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.