Una TV box comprada en una feria de Santiago tenía un virus de fábrica que no se iba ni reseteando

¿Puede un aparatito que comprás por unos pesos llegar a tu casa ya infectado? Sí, y de hecho es lo que les pasó a dos investigadores cuando destriparon una TV box barata en un laboratorio de Santiago de Chile. Lo que encontraron adentro lo presentaron en Buenos Aires y dejó a más de uno con la boca abierta.

Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, compraron uno de estos equipos chiquitos que se enchufan al televisor por HDMI y corren Android, de esos que prometen convertir cualquier pantalla en smart TV. En la Argentina se consiguen fácil en Mercado Libre o en casas de informática, con precios que arrancan cerca de los 27.000 pesos y pueden trepar hasta los 66.000 según el modelo. Cuando lo conectaron a la red y se pusieron a mirar el tráfico, vieron que el aparato hablaba solito con un servidor de comando y control ya catalogado como malicioso. O sea, el chisme tenía un ándate tú a saber qué andáte a saber dónde antes de que el usuario lo encendiera por primera vez.

El problema estaba más abajo del sistema operativo

Para entender dónde estaba la trampa hay que imaginarse el dispositivo como una cocina: el sistema operativo que vemos es la mesada, con sus app y sus menúes, pero el firmware es la instalación de caños y de gas que está debajo. Los investigadores abrieron el equipo, sacaron una copia de la memoria y hallaron el código maligno en esa capa profunda, así que reiniciar el aparato de fábrica o borrar las aplicaciones no servía de nada. La amenaza seguía ahí, porque estaba antes del sistema visible.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi”Anthony De La Paz y Patricio Moraga Abarca, investigadores en ciberseguridad

Para probarlo, los especialistas armaron en el laboratorio una copia del servidor al que se conectaba la TV box y desviaron la comunicación hacia una red controlada. En cuestión de segundos pudieron darle órdenes al aparato desde afuera. Entre lo que el dispositivo podía hacer había dos puntos que preocupan especialmente al usuario común.

• Prestaba la conexión del hogar como proxy, haciendo pasar tráfico ajeno por tu Wi-Fi, lo que podía terminar con tu dirección IP asociada a actividades ilegales y provocar bloqueos en servicios.
• Se integraba a una botnet, una red de equipos controlados a distancia que actúan juntos, generalmente sin que su dueño se entere.
• Podía registrar lo que el usuario escribía dentro del propio dispositivo, exponiendo contraseñas y datos de tarjetas guardadas en navegadores o apps de streaming.

Qué cambia en la vida cotidiana

Los hallazgos fueron expuestos en la Ekoparty 22, la conferencia de seguridad informática que se hace cada año en Buenos Aires, y coinciden con un crecimiento sostenido de estos dispositivos en el mercado regional. La recomendación práctica es directa: pensarlo dos veces antes de sumar una caja de streaming barata a la red del hogar, sobre todo si el precio está muy por debajo de lo que ofrecen los equipos de marcas conocidas, porque ahorrar unos pesos en la compra puede terminar costando un dolor de cabeza con la tarjeta o con el banco.