Compraste una TV box barata: revisá bien qué trae adentro antes de enchufarla

Te llega la caja a la casa, la enchufás al televisor y a los cinco minutos ya estás viendo canales gratis. Hasta ahí, todo parece perfecto. El problema empieza cuando descubrís que ese aparatito barato que compraste en una feria o por una página de ofertas trae un pasajero extra: un código malicioso instalado desde la fábrica que ni siquiera se va cuando lo reseteás.

Eso fue lo que encontraron Anthony De La Paz y Patricio Moraga Abarca, dos especialistas en seguridad informática, al desarmar una TV box comprada en una feria de Santiago de Chile. El caso lo presentaron en la Ekoparty 22, la conferencia de seguridad que se hace todos los años en Buenos Aires, y lo que mostraron dejó más de una ceja levantada.

Qué son las TV boxes y por qué están en casi todos los hogares

Una TV box es una pequeña computadora del tamaño de un control remoto que se conecta al televisor por HDMI. Corre una versión de Android y permite instalar aplicaciones de streaming, ver canales sin pagar'abonnement y transformar cualquier tele vieja en una smart TV. En Argentina se consiguen en Mercado Libre, en Garbarino o en locales de informática, con precios que arrancan cerca de los 27.000 pesos y pueden superar los 66.000 según el modelo.

Lo que descubrieron los investigadores

De La Paz y Moraga compraron uno de estos equipos, lo conectaron a una red y empezaron a mirar qué hacía. Lo primero que detectaron fue que el dispositivo hablaba solito con un servidor de comando y control, conocido en la jerga como C2, que ya estaba catalogado como malicioso. Después abrieron la caja, sacaron una copia de la memoria y siguieron el rastro hasta dar con el código escondido en el firmware, que es la capa de software más profunda, la que hace que el equipo arranque antes de que aparezca cualquier sistema operativo visible.

Y acá viene lo más grave: ese código no se borra con un reseteo de fábrica. Aunque el usuario elimine todas las aplicaciones y borre sus datos, el problema sigue ahí, instalado un escalón más abajo. Por eso De La Paz y Moraga lo resumieron con una frase que los propios investigadores usaron en su exposición: tener una de estas cajas en la casa es como tener a un atacante conectado directamente a tu Wi-Fi.

• Riesgo para la red del hogar: el equipo se comunicaba con un servidor de comando y control catalogado como malicioso. Reproduciendo ese servidor en un laboratorio, los investigadores lograron ejecutar órdenes en la TV box en cuestión de segundos.
• Uso como proxy: la caja podía hacer pasar tráfico de terceros por la conexión de tu casa, lo que hace que tu dirección IP quede asociada a actividades ilegales y termine bloqueada en distintos servicios o te obligue a pasar verificaciones extra cada vez que entrás a un sitio.
• Botnet silenciosa: el dispositivo podía sumarse a una red de equipos controlados a distancia, una botnet, sin que el usuario se entere. Esos aparatos coordinados suelen usarse para ataques, envíos masivos de spam o caídas de sitios web.
• Robo de credenciales y datos de pago: el sistema comprometido podía capturar contraseñas y datos de tarjetas ingresados dentro del propio dispositivo, o interceptar el tráfico de cualquier app que el usuario usara en esa misma red.

Por qué el reset no alcanza

Acá es donde la mayoría de los manuales caseros se quedan cortos. La idea de que apretar un botón y volver a los valores de fábrica limpia todo el equipo sirve para sacar apps y datos del usuario, pero no toca el firmware, que es justamente donde estaba escondido el código malicioso. Para sacarlo habría que reprogramar esa capa, algo que requiere herramientas específicas y un conocimiento técnico que excede al usuario promedio.

Mi lectura es esta: no todo lo que se vende barato en una feria o en una página de ofertas salió de fábrica con buenas intenciones. La Ekoparty existe justamente para mostrar estos casos antes de que terminen en la casa de tu vieja o de tu cuñado. La pregunta es cuándo van a empezar a controlarse de verdad estos equipos que se meten en la red del hogar sin que nadie les pida el curriculum.