Un cliente de torrents olvidado estuvo a punto de abrir la puerta a los hackers
Investigadores de ciberseguridad han descubierto una aplicación abandonada para ver películas mediante torrents cuya vulnerabilidad podría haber permitido a los atacantes distribuir programas maliciosos en millones de dispositivos de todo el mundo. Según los investigadores, no hay indicios de que los delincuentes llegaran a aprovechar el problema: los propios especialistas tomaron el control del mecanismo de actualización vulnerable y lo desactivaron.
Un torrent es una forma de descargar archivos grandes no desde un único servidor, sino simultáneamente de muchos participantes de la red. Un pequeño archivo .torrent contiene información sobre las partes de la distribución y los nodos donde están disponibles. Un programa cliente especial se conecta a esos nodos y descarga fragmentos del archivo en paralelo.
Los torrents se hicieron populares, entre otras cosas, entre los piratas que distribuían películas, programas comerciales y videojuegos. Pero el proceso podía resultar incómodo para el usuario corriente: había que instalar un cliente, encontrar el archivo torrent, descargar el contenido y abrirlo por separado. Popcorn Time simplificó esa cadena: una aplicación con una interfaz parecida a Netflix que mostraba películas obteniéndolas mediante torrents, y no de los servidores de un servicio de streaming.
Hace unos diez años, Popcorn Time alcanzó una gran popularidad. Más tarde, el proyecto cerró tras las presiones de la industria cinematográfica. Como su código fuente era abierto, surgieron bifurcaciones, entre ellas Time4Popcorn. Con el tiempo, también se abandonó este proyecto, pero muchos usuarios conservaron la aplicación instalada en sus ordenadores.
El peligro se detectó en el mecanismo de actualización de Time4Popcorn. Los clientes de millones de dispositivos intentaban conectarse al dominio abandonado popcorntimeupd.xyz a través del protocolo HTTP, que no es seguro, y aceptaban archivos ejecutables procedentes de allí sin verificar su firma digital. La vulnerabilidad recibió el identificador CVE-2026-30612 y una puntuación de gravedad de 9,8 sobre 10.
Quien hubiera obtenido el control del dominio podría, en teoría, haber alojado allí una actualización maliciosa y conseguir que su código se ejecutara en los dispositivos de los usuarios. Los investigadores de Eye Security comprobaron el alcance del problema registrando el dominio, que había quedado libre. Detectaron conexiones de hasta tres millones de clientes de Time4Popcorn para Windows y 350.000 para macOS. Entre los que se conectaban había proveedores de internet domésticos, redes gubernamentales y militares, así como dispositivos corporativos. Según Eye Security, en muchos casos la aplicación se instaló en su día y luego simplemente cayó en el olvido; a juzgar por la falta de actividad, probablemente ya no se utilizaba.
«Si hubiéramos enviado una actualización, potencialmente habríamos podido ejecutar código en millones de sistemas», declaró Eye Security, que subrayó que, si esa capacidad hubiera caído en manos ajenas, las consecuencias habrían sido graves.
En lugar de malware, los investigadores enviaron código que detuvo y desactivó el módulo de actualización. No eliminaron la propia aplicación de los dispositivos ni recopilaron datos sobre los ordenadores o telemetría. La actualización se limitó a informar a los clientes de que ya no debían comprobar si había nuevas versiones.
La operación duró desde noviembre de 2025 hasta marzo de 2026. Durante ese tiempo, casi todos los ordenadores recibieron la actualización y el número de solicitudes al dominio cayó un 98 %. El 2 % restante, según los investigadores, corresponde aparentemente a dispositivos Android que podrían seguir estando en peligro.
Eye Security consideró que la resolución del problema había sido satisfactoria y, después, cedió el dominio y otros 14 dominios que había adquirido a la fundación The Shadowserver Foundation. Los investigadores instaron a los usuarios a eliminar Time4Popcorn de inmediato: desactivar la actualización vulnerable no convierte una aplicación olvidada en una aplicación segura. Fuente: BleepingComputer.
PEREC.RU
La memoria digital tiene una peculiaridad desagradable: guarda no solo las fotos de la graduación y la contraseña del viejo correo, sino también programas que el propietario hace tiempo que dejó de ver. La persona se olvida de la aplicación, pero la aplicación sigue recordando adónde acudir para actualizarse. En esta historia, ese olvido cotidiano estuvo a punto de convertirse en una infraestructura lista para recibir código ajeno.
El contraste entre la promesa de comodidad y la naturaleza del riesgo resulta especialmente elocuente. En su día, Popcorn Time envolvió los torrents en una interfaz parecida a la de un servicio de streaming conocido: pulsas y ves. La cocina técnica desapareció de la vista, pero no dejó de existir. Tras la interfaz pulida quedaba un mecanismo que confiaba más en una dirección abandonada que en un desconocido a la puerta de casa.
Los investigadores no hicieron lo que habría hecho cualquier personaje de un thriller malo: obtuvieron el control del dominio y no lo convirtieron en una palanca para atacar. Desactivaron el actualizador sin recopilar información sobre los ordenadores. Es un buen recordatorio de que tener la capacidad técnica no obliga a monetizarla de inmediato. En un sector donde los datos suelen considerarse mineral gratuito, tanta contención casi parece exótica.
Pero este episodio heroico no cambia la conclusión de siempre: los programas olvidados no tienen un departamento de personal que los despida del ordenador el día que se cierra el proyecto. Los desarrolladores se van, los dominios se abandonan, los usuarios no se dan cuenta; y entre todas esas acciones queda una pequeña rendija con un cartel que dice «actualización». Su valor para un atacante no depende de la popularidad actual de la aplicación, sino del número de dispositivos en los que aún sigue instalada.
Y queda también la parte incómoda: corregir el problema no significa que todos los dispositivos se hayan quedado sin la aplicación ni que el riesgo haya desaparecido en todas partes. Según los investigadores, los clientes de Android podrían seguir conectándose a la infraestructura vulnerable. Ceder los dominios a una fundación especializada es una forma sensata de evitar que queden desatendidos, pero no equivale a limpiar todos los teléfonos y ordenadores ajenos.
Al usuario no se le propone un complicado ritual de higiene digital, sino algo sencillo: eliminar un programa que no utiliza. Nada de una cara suscripción a una «protección contra todo» ni de un curso de veinte lecciones. Solo reconocer que una aplicación innecesaria no es una simpática capa arqueológica en el disco, sino una puerta potencial cuya llave alguien dejó bajo el felpudo.
La ironía es que la comodidad suele venderse como una forma de librarse de las complicaciones, y luego la complejidad regresa convertida en un riesgo que nadie pensaba mantener. Los desarrolladores desaparecieron, los usuarios se olvidaron y los investigadores tuvieron que cerrar con cuidado la puerta tras todos ellos. El progreso tecnológico, como siempre, es magnífico… hasta que alguien comprueba qué ha quedado encendido.
