Ubicación de los usuarios de Time4Popcorn
Fuente: Eye Security

Las conexiones provenían de ISP residenciales y redes corporativas, gubernamentales y militares. Sin embargo, ninguno de los usuarios parecía estar utilizando la aplicación activamente, lo que sugiere que había sido instalada y olvidada.

“Si pudiéramos enviar una actualización, potencialmente podríamos lograr la ejecución de código en millones de sistemas”, señala Eye Security en este enlace, agregando que “el impacto sería grave si esto cayera en las manos equivocadas”.

Tras este descubrimiento, los investigadores registraron 14 dominios más asociados con el servicio.

Aegurando los sistemas

Entre noviembre de 2025 y marzo de 2026, Eye utilizó el mecanismo de actualización vulnerable para entregar un código de remediación que detuvo y deshabilitó el actualizador.

Su carga útil no recopiló datos del host ni telemetría, y no eliminó ningún archivo en las computadoras de los usuarios, manteniendo sus acciones dentro de un contexto totalmente legal.

Eye explica que tuvo que modificar su carga útil durante las pruebas para evadir los productos antivirus que la marcaban por deshabilitar un servicio.

Después de implementar la remediación, Eye registró 2 millones de descargas de actualizaciones y, para el 1 de marzo de este año, las solicitudes a su dominio de actualización disminuyeron en un 98%.

Tras la finalización exitosa de la operación de remediación, la propiedad del dominio fue transferida a la organización de seguridad sin fines de lucro The Shadowserver Foundation.

A pesar de este éxito, los investigadores advirtieron que el riesgo no está totalmente eliminado para los usuarios de la aplicación.

En primer lugar, los usuarios de Android permanecen expuestos ya que la instalación de una actualización requeriría la interacción del usuario, y los investigadores no pudieron deshabilitar el actualizador remotamente para la plataforma móvil.

En segundo lugar, la aplicación Time4Popcorn utiliza un motor Chrome severamente desactualizado de 2014, sin protecciones de sandbox, lo que podría ser explotado en ataques.

La mejor medida a tomar sería que los usuarios eliminen el software por completo de sus sistemas.

Fuente:
BleepingComputer