Compraron una TV box barata en Chile, la desarmaron en Buenos Aires y encontraron un problema que sobrevive al reseteo de fábrica

En la Argentina se consiguen con facilidad y a precios que arrancan en los 27.000 pesos. Son pequeñas computadoras que se enchufan al televisor por HDMI, corren una versión de Android y prometen convertir cualquier pantalla en un smart TV con acceso a aplicaciones de streaming y canales sin suscripción paga. Pero una investigación presentada en la Ekoparty 22, la conferencia de seguridad informática realizada en Buenos Aires, demostró que al menos algunos de esos equipos llegan comprometidos desde origen.

El hallazgo: un servidor de control remoto escondido en el firmware

Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, compraron una TV box en una feria de Santiago para analizar su comportamiento. Al conectar el dispositivo y observar el tráfico que generaba, detectaron que se comunicaba de manera espontánea con un servidor de comando y control ya catalogado como malicioso. Abrieron el equipo, extrajeron una copia de su memoria y localizaron el código responsable dentro del firmware, la capa de software que permite que el aparato arranque, antes incluso de que aparezca cualquier pantalla visible para el usuario.

El método de trabajo se desplegó en tres pasos: primero, monitorearon las conexiones que iniciaba el aparato al enchufarlo; segundo, identificaron la dirección del servidor remoto y verificaron que figuraba en listas de actividad maliciosa; tercero, clonaron ese servidor en un laboratorio propio para demostrar que un atacante podía enviarle órdenes al equipo y obtener respuestas.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, investigadores

Los dos riesgos concretos: el robo de datos y la conexión prestada

• Exposición de contraseñas y datos de tarjetas ingresados en el dispositivo: si el sistema queda bajo control externo, la información escrita en el equipo puede ser capturada.
• Uso de la conexión del hogar como proxy: el aparato puede hacer pasar tráfico de terceros por la red Wi-Fi, de modo que la actividad aparezca ante otros sitios como originada desde la dirección IP del usuario.
• Integración a una botnet: el equipo puede sumarse a una red de dispositivos controlados a distancia para ejecutar acciones coordinadas.

Las consecuencias prácticas para el usuario afectado pueden ir desde bloqueos o verificaciones adicionales en distintos servicios web, por tener la IP asociada a actividad maliciosa, hasta el robo directo de credenciales y datos financieros. El problema, según describieron los investigadores, es que resetear el equipo a valores de fábrica, borrar aplicaciones o vaciar los datos del usuario no elimina la amenaza, porque el código malicioso está en una capa más profunda que el sistema operativo visible.