Popcorn Time no murió: dormía en tres millones de ordenadores esperando órdenes

Investigadores de la firma holandesa Eye Security han revelado la Operación IXIM: entre noviembre de 2025 y marzo de 2026, desactivaron remotamente el actualizador de Popcorn Time en más de dos millones de máquinas que no les pertenecían. La vulnerabilidad, registrada como CVE-2026-30612 y calificada con un 9,8 sobre 10 por CISA, permitía ejecutar código con privilegios de sistema en Windows y root en macOS. Tres millones de ordenadores estaban a una petición HTTP de convertirse en soldados de un ejército zombi.

El Netflix pirata que nadie desinstala

Hay que remontarse a 2014 para entender el calibre de esta historia. Popcorn Time fue el equivalente digital de Robin Hood con interfaz de Netflix: un grupo de programadores argentinos montó en dos semanas una app que convertía los torrents en streaming con la facilidad de darle al play. La MPAA la llamó amenaza. Netflix la citó en sus informes a accionistas como su verdadero competidor. Reed Hastings lo dijo sin rodeos: la piratería, no HBO, era el enemigo.

La app original cerró. Aparecieron forks. La MPAA ganó demandas en Canadá y Nueva Zelanda. Los dominios cambiaron de mano como pisos en una burbuja inmobiliaria. Y al final, como toda moda, Popcorn Time dejó de importar. Spotify, Netflix, Disney+ y el resto de plataformas hicieron lo que las demandas no pudieron: volver la piratería innecesaria para la mayoría.

Pero aquí está el detalle que nadie quiere escuchar: millones de personas dejaron la app instalada. No la usaban. Ni siquiera recordaban tenerla. Dormía en segundo plano como ese aparato de gimnasia que compraste en enero y ahora sirve de perchero. Solo que este perchero tenía privilegios de administrador y llamaba a un servidor cada pocos minutos pidiendo instrucciones.

Un cadáver con las llaves de tu casa

El actualizador de Time4Popcorn —el fork más popular— funcionaba con la ingeniería de seguridad de un candado de maleta. Se conectaba por HTTP sin cifrar, descargaba ejecutables sin verificar firma digital y los ejecutaba con los máximos privilegios del sistema. En 2014, eso era negligente. En 2026, es una invitación con alfombra roja para cualquier atacante.

El mecanismo era tan simple como aterrador: el actualizador pedía un JSON a varios dominios abandonados. Si alguien registraba esos dominios —algo que cuesta menos que un café—, podía responder con un enlace a un ejecutable malicioso. El actualizador lo descargaba y lo ejecutaba sin preguntar. Game over.

Eso fue exactamente lo que hicieron los investigadores de Eye Security. Registraron el dominio popcorntimeupd.xyz y empezaron a recibir unas 50 peticiones por segundo. En seis meses identificaron 3,8 millones de identificadores de hardware únicos. Windows representaba el 50%, macOS el 45% y Android el 5%. Las conexiones llegaban desde redes residenciales, corporativas, gubernamentales y militares.

«La única alternativa real que teníamos era no hacer nada, y eso no parecía que fuera a hacer del mundo un lugar mejor.» — Eye Security, Operación IXIM

La ética de hackear para salvar

Y aquí es donde la historia se vuelve realmente interesante. Eye Security tomó una decisión que ningún manual de ciberseguridad contempla: usar la propia vulnerabilidad para desactivar el actualizador en máquinas ajenas. Sin consentimiento. Sin notificación. Sin marcha atrás.

En Windows, enviaron comandos para detener el servicio (sc.exe stop y sc.exe config). En macOS, ejecutaron launchctl unload sobre el daemon. No tocaron la app principal. Solo cerraron la puerta trasera que nadie sabía que estaba abierta.

Los resultados fueron contundentes: una reducción del 90% en las peticiones tras el primer mes y del 98% para marzo de 2026. De millones de máquinas vulnerables, quedaron unas 5.000 peticiones diarias. Insuficientes para monetizar una botnet, según los propios investigadores.

La pregunta incómoda es obvia: ¿tenían derecho? En sentido estrictamente legal, probablemente no. En sentido práctico, la alternativa era esperar a que un grupo criminal registrase esos dominios primero. Tres millones de ordenadores con privilegios de sistema, listos para lanzar ataques DDoS, minar criptomonedas o cifrar discos duros a cambio de un rescate. La Operación IXIM recuerda a la Operación Ladybird, el desmantelamiento de la botnet Emotet coordinado por Europol en 2021. Solo que aquí no hubo orden judicial. Solo investigadores con la convicción de que alguien tenía que actuar.

El perchero que lleva un motor de Chrome de 2014

Pero el actualizador era solo la punta del iceberg. Eye Security descubrió que la propia app de Popcorn Time ejecutaba un motor de Chrome de 2014 con el sandbox desactivado. Cargaba JavaScript desde dominios abandonados sin cifrar. Los investigadores registraron también esos dominios y demostraron que podían ejecutar código arbitrario a través de ellos.

Dicho de otro modo: incluso tras desactivar el actualizador, la app seguía siendo una máquina de vulnerabilidades andante. Un software construido sobre librerías de hace más de una década, sin parches, sin soporte, sin nadie al otro lado. Un edificio abandonado con todas las ventanas abiertas en un barrio donde los ladrones tienen drones.

El motor de Boost 1.55 (de 2013) que utilizaba el actualizador de Windows tenía además un bug en la generación de identificadores de hardware: si una función del registro de Windows devolvía cero, el identificador de la máquina no se incluía en el hash. Resultado: todos los ordenadores con particiones clonadas —algo habitual en flotas corporativas de HP, Dell o Lenovo— compartían el mismo identificador. Una fiesta para cualquier atacante que quisiera segmentar su botnet.

El verdadero problema no es Popcorn Time

Popcorn Time es el caso más espectacular, pero no es único. Cada día, millones de aplicaciones abandonadas siguen ejecutando servicios en segundo plano, llamando a dominios que ya no existen, esperando instrucciones que nunca llegan. Hasta que alguien registra ese dominio.

El software abandonado es la deuda técnica del usuario final. Nadie audita lo que tiene instalado. Nadie revisa qué servicios se ejecutan al arrancar. El típico ordenador doméstico acumula años de instalaciones olvidadas como un desván digital lleno de cajas sin etiquetar. Cada una de esas cajas es una superficie de ataque potencial.

«Popcorn Time funciona sobre un motor de navegador de 2014 con su sandbox de seguridad desactivado, carga contenido sobre conexiones sin cifrar y ejecuta código desde direcciones web abandonadas.» — Eye Security

La lección no es que la piratería sea peligrosa —que también—, sino que el software que dejas de usar no deja de funcionar. Sigue ahí, con sus permisos intactos, sus conexiones activas y su arquitectura congelada en el tiempo. Es el equivalente digital de dejar las llaves puestas en un coche aparcado: no pasa nada hasta que alguien las ve.

Así que la próxima vez que hagas limpieza digital, no mires solo las fotos duplicadas. Mira los procesos en segundo plano. Mira qué servicios arrancan con tu ordenador. Y si encuentras algo que instalaste hace diez años y no recuerdas por qué, desinstálalo. Antes de que alguien más lo recuerde por ti.