Compraste una TV box barata y ya tenés un intruso en el Wi-Fi: qué encontraron dos chilenos en un aparatito vendido en Santiago

¿Te compraste una cajita mágica que convierte el tele en smart y te ahorra el cable? Bienvenido al club. La mala noticia es que ese aparatito de 30 lucas puede llegar a tu casa con un regalito extra: un software malicioso instalado de fábrica, antes incluso de que prenda el Android. Dos pibes que saben del tema lo demostraron en un congreso de hackers porteño y los resultados dan entre bronca y vergüenza ajena.

¿Qué diablos hicieron estos tipos?

Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, se compraron una TV box en una feria de Santiago, Chile, con el único objetivo de romperla. La enchufaron,Analizaron el tráfico de red, o sea las llamadas que el aparato hace a internet sin que vos le pidas nada, y vieron que hablaba con un servidor de comando y control (C2, una especie de centro de operaciones del atacante) que ya estaba fichado como malo en bases de datos de ciberseguridad.

Después abrieron la caja, sacaron una copia de la memoria interna y fueron a buscar el código culpable. Lo hallaron en el firmware, que es el software base que hace que el equipo arranque, el equivalente al Sistema operativo de tu compu pero más abajo en la cadena. Eso es clave: por más que resetees de fábrica, borres apps o formatees, el bicho sigue ahí, escondido debajo de todo lo que vos podés tocar.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca

¿Y qué te pueden hacer desde afuera?

• Chupar contraseñas y datos de tarjeta que vos escribas en cualquier app que corra en el deco, desde un login bancario hasta el home banking del banco Galicia.
• Usar tu conexión a internet como proxy, o sea, hacer pasar tráfico de desconocidos por tu Wi-Fi. Eso significa que si alguien hace algo turbio en la red, la dirección IP de tu casa queda pegada a ese delito, ychau pedir explicaciones a tu proveedor o terminar bloqueado en Google, Mercado Libre o cualquier sitio que detecte actividad sospechosa.
• Sumar tu TV box a una botnet, que en criollo es una red de miles de aparatitos zombie controlados a distancia para tirar abajo páginas web, mandar spam o mandar ataques coordinados. Tu deco deja de ser tuyo sin que te enteres.

¿Por qué pasa esto y cómo lo demostraron?

El negocio de las TV boxes baratas, esas que ves en Mercado Libre a precios que parecen ganga, es así: fabricantes chinos OEM, los que fabrican para distintas marcas, meten Android modificado, le agregan apps de streaming truchas o directamente un firmware trucho ya comprometido, y las venden como smart TV solución. En Argentina se consiguen desde 27.000 hasta 66.000 pesos según modelo y forma de pago, una diferencia que muchas veces se paga con tu privacidad.

Para probar que el riesgo era real y no un cuento, los investigadores montaron en su laboratorio una copia del servidor malo, redirigieron las comunicaciones del deco hacia esa red controlada y le mandaron órdenes. En pocos segundos el equipo respondió como un soldado: abrió navegadores invisibles, aceptó comandos, hizo lo que le pidieron. Lo presentaron en la Ekoparty 22, la conferencia de seguridad que se hace todos los años en Buenos Aires.

¿Qué hacés entonces? Tirar el deco a la basura o, en el mejor de los casos, no comprar uno sin marca certificada. Comprar un dispositivo certificado por Google con el sello oficial de Android TV o Google TV es la única garantía de que el software no viene trucho de origen, aunque cueste un poco más. Ahora, si ya lo enchufaste y querés probar suerte: rootear el equipo, cambiar el firmware por uno limpio de código abierto como LineageOS o CoreELEC, y bloquear todo el tráfico hacia servidores desconocidos. Un dolor de cabeza que, si te iba a pasar, preferís que te pase antes de tipear la clave del home banking.

Moraleja: si la oferta es demasiado buena, desconfiar. Tu próxima TV box barata puede terminar siendo la puerta de entrada de alguien más a tu Wi-Fi. Veremos.