TV boxes baratas: el riesgo invisible que ya viene dentro de la caja

¿Puede un aparato que se enchufa al televisor robarte las claves del home banking? Sí, y ni siquiera hace falta instalar nada: el código malicioso ya viene de adentro. Eso fue lo que comprobaron los especialistas Anthony De La Paz y Patricio Moraga Abarca al desarmar una TV box económica comprada en una feria de Santiago de Chile, y que presentaron en la conferencia de seguridad Ekoparty 22, realizada en Buenos Aires.

Las TV boxes son pequeñas computadoras que se conectan al televisor por HDMI y, en la mayoría de los modelos económicos, corren una versión de Android. Permiten instalar aplicaciones de streaming, acceder a canales sin suscripción paga y convertir cualquier pantalla en un smart TV. En Argentina se consiguen en plataformas de comercio electrónico y locales de informática, con precios que van desde los 27.000 hasta los 66.000 pesos, según el modelo y la forma de pago.

Qué hallaron los investigadores

Qué hallaron los investigadores

Al conectar el dispositivo y analizar el tráfico de red, los investigadores detectaron que se comunicaba con un servidor de comando y control (C2, es decir, un servidor desde el que un atacante envía órdenes a distancia) identificado como malicioso. Abrieron el equipo, extrajeron una copia de su memoria y localizaron el código responsable en el firmware, la capa de software más profunda que permite que el aparato arranque. Por eso, borrar aplicaciones o restablecer la configuración de fábrica no elimina el problema: el código dañino está por debajo del sistema operativo visible.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca

Qué puede hacer el atacante con ese equipo

• Operarlo como proxy: el aparato hace pasar tráfico de terceros por la conexión del hogar, de modo que esa actividad aparece ante otros sitios como originada desde esa dirección IP. Eso puede provocar que la IP quede asociada a actividad maliciosa y reciba bloqueos o verificaciones extra en distintos servicios.
• Integrarlo a una botnet, una red de dispositivos controlados a distancia que actúan de forma coordinada para ataques o envíos masivos.
• Exponer contraseñas y datos de tarjetas ingresados dentro del dispositivo, ya que el sistema queda bajo control externo.

Para demostrarlo, De La Paz y Moraga reprodujeron en laboratorio el servidor al que se conectaba la TV box, redirigieron la comunicación hacia una red propia y ejecutaron órdenes en el equipo en pocos segundos.

Para qué sirve esto en La Rioja

En la provincia, donde proliferan las compras de estos equipos para ver partidos o canales internacionales sin pagar suscripciones, el dato clave es que un aparato de 27.000 pesos puede salir mucho más caro si termina exponiendo la red del hogar. La recomendación de los especialistas es evitar modelos de origen dudoso, verificar la marca y el firmware antes de comprar y, ante la duda, consultar con un técnico de confianza antes de enchufarlo al router. También se sugiere segmentar la red Wi-Fi: una para computadoras y celulares con datos bancarios, y otra aislada para dispositivos de bajo costo, de modo que un eventual compromiso no afecte al resto.