Tres millones de PC estaban a un registro de dominio de distancia de una botnet
Empecemos por el detalle que lo delató. Un portátil en casa de un cliente de Eye Security ejecutaba una y otra vez algo llamado Updater.exe, y Updater.exe intentaba una y otra vez alcanzar una dirección web que ya no era de nadie. Los dominios caducados son baratos. Quien los registre después decide qué responden.
Así que la registraron, popcorntimeupd.xyz, y miraron lo que llegaba: unas 50 conexiones por segundo desde todo el mundo. El programa que preguntaba era Time4Popcorn, una bifurcación del viejo cliente de cine Popcorn Time, abandonada hace años y todavía instalada en una cantidad enorme de máquinas. Su actualizador descargaba archivos por HTTP sin cifrar y ejecutaba lo que volviera sin comprobar ninguna firma, como SYSTEM en Windows y root en Mac. En seis meses Eye registró más de 3,8 millones de identificadores de hardware, que estima en 2,5 a 3 millones de PC con Windows y hasta 350.000 Mac. Sobre todo conexiones domésticas, pero también redes corporativas, gubernamentales y militares.
Lo que hicieron con eso es la parte que merece contarse. Entre noviembre de 2025 y marzo de 2026 usaron el agujero para taparlo, distribuyendo más de dos millones de actualizaciones cuya única misión era detener y desactivar el actualizador. No borraron nada ni recogieron telemetría. Las conexiones cayeron un 90 por ciento en semanas y un 98 por ciento al 1 de marzo, y los quince dominios pertenecen ahora a la Shadowserver Foundation. El fallo es CVE-2026-30612 y el informe salió el 22 de octubre.
Si queda instalada alguna versión de Popcorn Time en algún equipo de casa, desinstálala en lugar de dejarla ahí. El actualizador está resuelto; la aplicación no. Incorpora una copia de Chrome de 2014 con el aislamiento desactivado y lo descarga todo por conexiones sin cifrar. Las copias de Android no se pudieron arreglar en remoto. La comprobación de seguridad de Tendvane está pensada justo para esto: programas viejos que olvidaste que estaban ahí y siguen corriendo en segundo plano.