Una caja que mira, otra que vigila: el lado oscuro de las TV boxes baratas que se venden en Argentina

En las ferias de barrio, en los locales de computación de la calle Paraguay y en las primeras páginas de Mercado Libre, las TV boxes prometen una suerte de prodigio democrático: por pocos miles de pesos, cualquier televisor con HDMI se convierte en una smart TV con Netflix, YouTube y canales gratis. Son pequeñas computadoras, muchas veces con una versión de Android adentro, que viven conectadas al router de la casa las 24 horas. Anthony De La Paz y Patricio Moraga Abarca, dos especialistas de ciberseguridad, compraron una de esas cajitas en una feria de Santiago de Chile para abrirla y mirar qué llevaba adentro. Lo que descubrieron lo presentaron en la Ekoparty 22, la conferencia de seguridad informática que cada año reúne en Buenos Aires a hackers e investigadores de toda la región, y la conclusión fue inquietante: el equipo llegaba comprometido desde la fábrica.

Un problema que no se borra ni reinstalando

De La Paz y Moraga no se toparon con un virus cualquiera. Al conectar el dispositivo y observar a dónde se conectaba, detectaron que hablaba solito con un servidor de comando y control, un C2 ya catalogado como malicioso por distintas listas internacionales. Abrieron la caja, sacaron una copia de la memoria y fueron a buscar el código al lugar más profundo: el firmware, esa capa de software que está antes incluso del sistema operativo visible y que es lo primero que se ejecuta cuando uno aprieta el botón de encendido. Y eso cambia todo, porque borrar las aplicaciones, resetear el equipo de fábrica o incluso cambiarle la contraseña al Wi-Fi no resuelve nada. La amenaza vive más abajo, en un terreno al que el usuario común no llega.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, investigadores de ciberseguridad

Para probar hasta dónde llegaba el problema, los especialistas armaron en su laboratorio un servidor propio que imitaba al servidor malicioso original, redirigieron el tráfico del dispositivo hacia esa red y, en pocos segundos, pudieron darle órdenes al equipo. Es decir, comprobaron que quien estuviera del otro lado podía tomar el control sin que el dueño lo notara.

• Proxy silencioso: el equipo podía hacer pasar tráfico de terceros por la conexión del hogar, lo que termina associating la dirección IP de la víctima con actividad ilícita y puede generar bloqueos o verificaciones extras en servicios bancarios, redes sociales y plataformas de streaming.
• Botnet familiar: la caja podía integrarse a una red de dispositivos zombi controlados a distancia para actuar de forma coordinada en ataques, sin que nadie en la casa lo advierta.
• Robo de credenciales: si el usuario ingresaba contraseñas o datos de tarjeta dentro de cualquier aplicación del dispositivo, esa información quedaba expuesta, porque el sistema estaba intervenido desde su arranque.
• Persistencia total: restaurar el equipo a configuración de fábrica no elimina el problema, porque el código malicioso reside en el firmware, una capa anterior al sistema operativo.

Qué hacer en casa sin volverse paranoico

En la Argentina, las TV boxes se consiguen en plataformas de comercio electrónico y en locales de informática con precios que arrancan cerca de los 27.000 pesos y pueden superar los 66.000 según el modelo y la forma de pago. El dato no es menor: estamos hablando de un aparato que mucha gente compra sin reparar en la marca, atraída por la diferencia de precio frente a un Smart TV de marca. La recomendación de los investigadores pasa por varias puntas: verificar el origen del dispositivo y la reputación del fabricante, evitar equipos sin marca o con firmware modificado, mantenerlo actualizado, segmentarlo en una red Wi-Fi propia para que no comparta conexión con la computadora del trabajo o el celular del home banking, y, en los casos más sensibles, directamente reemplazarlo. Yo, que convivo con una de estas cajas desde hace rato, miro hoy el aparatito con otros ojos: detrás de la pantalla brillante que reproduce series puede haber, literalmente, un ojo ajeno mirando la red entera de la casa.