Compraste una TV box barata y te regalaron un espía con control remoto: la investigación que encendió las alarmas en Argentina

¿Te imaginabas que la cajita que conectás al televisor para ver series podía estar trabajando a espaldas tuyas desde el primer día que la enchufaste? Dos investigadores de seguridad hicieron exactamente esa pregunta, gastaron sus propios pesos en una TV box económica y la respuesta los dejó con la boca abierta: el equipo venía comprometido de fábrica.

¿Qué tiene de especial una TV box y por qué debería importarte?

Una TV box es básicamente una computadora chiquita, del tamaño de un puño, que se enchufa al televisor por HDMI y corre una versión de Android. Sirve para instalar aplicaciones de streaming, acceder a canales sin pagar'abonnement y transformar cualquier tele vieja en una smart TV. En Argentina se consiguen fácil: en Mercado Libre, en locales de informática del Once o de Once, en ferias y hasta en cadenas de electrodomésticos. Los precios arrancan cerca de los 27.000 pesos y pueden trepar hasta los 66.000, según el modelo y la forma de pago. Baratas, populares, en todos los hogares.

¿Qué encontraron los investigadores?

Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, compraron uno de estos equipos en una feria de Santiago de Chile y se lo llevaron al laboratorio. Lo que hallaron lo presentaron en la Ekoparty 22, la conferencia de seguridad informática que se hace todos los años en Buenos Aires.

Al conectar la caja y mirar con lupa el tráfico de red, vieron que el aparato hablaba solito con un servidor de comando y control, lo que en la jerga se llama un C2, identificado como malicioso. Pensalo así: es como si la radio de tu pueblo sintonizara de madrugada una frecuencia desconocida y empezara a transmitir datos sin que nadie la haya tocado. Abrieron el equipo, sacaron una copia de la memoria y encontraron el código malicioso escondido en el firmware, la capa de software que hace que el aparato arranque, la que está antes de Android y de cualquier aplicación que vos veas en pantalla.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, investigadores

Para probarlo, los especialistas armaron en su laboratorio un servidor igual al que se conectaba la TV box, redirigieron toda la comunicación hacia una red controlada por ellos y le mandaron órdenes al equipo. En pocos segundos, el aparato obedecía. Restaurarlo a configuración de fábrica, el típico reseteo que te salva cuando algo anda mal, no servía de nada: el código estaba más abajo, debajo del sistema operativo, inaccesible para el usuario común.

¿Qué podía llegar a hacer el aparato comprometido?

El menú de riesgos es largo y bastante feo:

• Funcionar como proxy: hacer pasar tráfico de terceros por tu conexión a Internet, de modo que actividades ilegales parecieran salir desde tu casa.
• Integrarse a una botnet, una red de equipos controlados a distancia que actúan en conjunto, muchas veces sin que el dueño se entere.
• Quedar con la dirección IP del hogar asociada a actividad maliciosa, lo que puede traducirse en bloqueos o verificaciones extra en distintos servicios.

En criollo: no solo te espían a vos. Tu Wi-Fi, la que usás para trabajar, para el home banking y para el wifi de los pibes, queda disponible como pasadizo para que otros hagan cosas que después quedan registradas a tu nombre.

¿Hay forma de zafar?

Los investigadores coinciden en lo que ya se viene repitiendo hace rato en el mundo de la ciberseguridad: comprar dispositivos sin marca reconocida, sin soporte ni actualizaciones, es abrir la puerta de la cocina sin llave. Si ya tenés una TV box barata dando vueltas por ahí y la usás para entrar a home banking, cargar datos de tarjetas o manejar cuentas, lo más sensato es dejar de hacerlo. Y si el aparato vino con software sospechoso o aplicaciones que no pediste, asumir que la red del hogar estuvo expuesta y cambiar contraseñas desde otro equipo que consideres limpio.

Mientras tanto, seguimos esperando la fibra.