Un decoder barato, una red zombie y un dato en la mesa: lo que hallaron dos chilenos en una TV box comprada en Santiago

Yo estaba sentada frente al monitor cuando me llegó el video de la Ekoparty y se me heló el café, porque la demostración es de esas que uno no espera ver aplicadas a un aparatito que cualquiera lleva a su casa sin pensarlo. Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, compraron una TV box económica en una feria de Santiago de Chile, la abrieron como quien pela una naranja y encontraron adentro algo que ningún usuario sospecha: el firmware, la capa más profunda del software, llevaba de origen un código que comunicaba el equipo con un servidor de control remoto ya catalogado como malicioso por distintas bases de datos de amenazas.

Por qué resetear no alcanza

Piensen en el firmware como esa película finita que recubre la memoria del aparato, debajo del sistema operativo que uno ve en pantalla. Cuando uno elige "restablecer valores de fábrica" desde el menú, en realidad está limpiando la capa de arriba, como pasar un trapo por la mesada: la grasita pegada debajo de la película queda intacta. Por eso ni borrar aplicaciones ni resetear el dispositivo eliminaba el problema: el código malicioso estaba un escalón más abajo, formando parte del ADN del equipo desde que salió de la línea de producción, en muchos casos ensamblados en China con componentes genéricos que no pasan controles de seguridad.

"Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi", describieron los propios investigadores durante su exposición, que se realizó en la Ekoparty 22, la conferencia de seguridad informática celebrada en Buenos Aires. Y a mí, que cubro estos temas hace años, esa frase me suena a subdimensionada: estamos hablando de un aparato que vive enchufado al televisor, a veces las 24 horas, con acceso permanente a la red del hogar.

• Riesgo de contraseñas y datos de tarjetas: el sistema comprometido puede registrar lo que el usuario tipea dentro del dispositivo, incluyendo claves y datos de tarjetas, si se usan aplicaciones vulnerables.
• Conversión en proxy: el equipo puede hacer pasar tráfico de terceros por la conexión del hogar, por lo que la dirección IP del damnificado queda asociada a actividad maliciosa ante distintos servicios.
• Integración a una botnet: la TV box puede sumarse a una red de dispositivos controlados a distancia, usados de forma coordinada para ataques, minería de criptomonedas o difusión de spam.
• Persistencia del problema: un reseteo de fábrica desde el menú del usuario no elimina el firmware comprometido, según la evidencia reunida en el laboratorio.

Qué pueden hacer los usuarios argentinos

En la Argentina estas cajas se consiguen en Mercado Libre, portales de venta y locales de informática desde los 27.000 hasta los 66.000 pesos, según modelo y forma de pago. Los investigadores recomiendan, mientras los fabricantes no ofrezcan parches de firmware firmados, desconectar de internet cualquier caja de origen dudoso o limitar su uso a contenidos offline y, sobre todo, no ingresar contraseñas ni datos bancarios desde un equipo que no pasó por una auditoría independiente. La conversación entre ambos sigue abierta: están contactando al fabricante del equipo analizado para que tome cartas en el asunto, y planean repetir el estudio con otros modelos del mercado regional.