Investigadores de seguridad descubrieron que la aplicación de torrents abandonada Time4Popcorn podría haber permitido a un atacante enviar malware a millones de dispositivos. La vulnerabilidad, registrada como CVE-2026-30612, tiene una gravedad crítica de 9,8/10.
El actualizador de la aplicación se conectaba al dominio inactivo popcorntimeupd.xyz mediante HTTP sin cifrar y aceptaba archivos ejecutables sin verificar sus firmas digitales. En teoría, quien tomara el control del dominio podría haber enviado una actualización maliciosa a los ordenadores donde la aplicación siguiera instalada.
Investigadores de Eye Security registraron el dominio y observaron hasta 3 millones de conexiones de clientes Windows y 350.000 de macOS. Las conexiones procedían de proveedores de internet residenciales, redes gubernamentales y militares, y dispositivos corporativos. Eye Security considera que la aplicación estaba instalada en esos dispositivos, pero no se utilizaba.
En lugar de enviar malware, Eye Security distribuyó código que detuvo y desactivó el actualizador. El cambio no eliminó la aplicación ni recopiló datos del equipo o telemetría. Los investigadores lo desplegaron en casi todos los ordenadores entre noviembre de 2025 y marzo de 2026; desde entonces, las solicitudes al dominio de actualización han caído un 98%. El 2% restante parece proceder de dispositivos Android, que podrían seguir en riesgo. Eye Security transfirió el dominio y otros 14 que había adquirido a The Shadowserver Foundation y recomendó a los usuarios desinstalar la aplicación.
Comentarios
0Aún no hay comentarios. Escribe el primero.