Investigadores de Eye Security han desactivado las actualizaciones de una rama abandonada de la aplicación de piratería Popcorn Time, conocida como Time4Popcorn, para prevenir su uso como vector de ataque. El software, que sigue instalado en millones de dispositivos de Windows, macOS y Android, utilizaba un actualizador que se conectaba a dominios web abandonados mediante HTTP sin cifrado y ejecutaba una versión insegura de Chrome. Esta configuración permitía a los atacantes instalar cualquier software con privilegios totales, crear redes de bots o realizar vigilancia, aprovechando un ataque de hombre en el medio para apuntar a dispositivos específicos.
La solución implementada por los investigadores consistió en registrar uno de los dominios afectados y enviar una actualización personalizada que instruía al sistema para desactivarse. En dispositivos Windows, el proceso se detiene mediante el Servicio Control Manager sin eliminar archivos; en macOS, se ejecuta un script de shell que bloquea el inicio del actualizador. No se abordó la versión para Android, ya que requeriría interacción del usuario para instalar la actualización. El proceso fue controvertido por sus implicaciones éticas, pero los investigadores argumentaron que la alternativa era inacción, dado que el actualizador original no realizaba funciones útiles y solo generaba riesgo. Tras la subida de la actualización a VirusTotal, los programas de seguridad la marcaron como malware, lo que obligó a los investigadores a modificarla. Hasta marzo, se enviaron más de dos millones de descargas antes de que la organización transfiriera los dominios a la Shadowserver Foundation, una organización sin fines de lucro de seguridad web.