La TV box barata que te roba el Wi-Fi sin que te enteres

A veces la mejor jugada se define en los primeros minutos, sin que nadie la pida. En este caso, fue ni bien enchufaron el aparatito: la TV box arrancó y, sin que nadie tocara nada, ya estaba hablando con un servidor lejano. Así empieza el descubrimiento que Anthony De La Paz y Patricio Moraga Abarca presentaron en la Ekoparty 22, en Buenos Aires.

Qué es una TV box y por qué está en miles de livings

Es una cajita que se conecta al televisor por HDMI y corre una versión de Android. Permite instalar aplicaciones de streaming, ver canales sin pagar'abonnement y convertir cualquier tele en smart. En Argentina se consiguen fácil: desde 27.000 hasta 66.000 pesos, según modelo y forma de pago, en tiendas online y locales de informática. Suena tentador. Y acá empieza el drama.

De La Paz, que se dedica a la seguridad ofensiva, y Moraga Abarca, consultor senior en ciberseguridad, compraron una de estas cajas en una feria de Santiago, en Chile, para destriparla tranquilo. Al analizar el tráfico de red detectaron que el equipo se comunicaba solito con un servidor de comando y control (C2) ya catalogado como malicioso. No era un virus bajado por una app: el código estaba en el firmware, esa capa que hace que el aparato encienda. Por eso, restaurar de fábrica no servía de nada. El problema estaba debajo del sistema operativo visible.

Qué puede hacer el aparatito en tu casa

Los investigadores lo resumieron sin vueltas: tener una de estas cajas en el living es como tener a un atacante conectado directo a tu Wi-Fi. Para probarlo, montaron un laboratorio, reprodujeron el servidor al que se conectaba el dispositivo y, en pocos segundos, le mandaron órdenes al equipo.

• Convertir la TV box en proxy: hace pasar tráfico de terceros por tu conexión, así que tu IP queda asociada a actividad que vos no hiciste y puede terminar bloqueada en distintos servicios.
• Sumarla a una botnet: tu equipo, sin saberlo, pasa a formar parte de una red de dispositivos controlados a distancia para actuar de forma coordinada.
• Exponer contraseñas y datos de tarjetas que el usuario ingrese dentro del dispositivo, si el sistema queda bajo control ajeno.

Lo peor es lo sencillo que resulta: el firmware comprometido viene de fábrica, así que ni el usuario más astuto lo detecta a simple vista. Comprás, enchufás, el equipo ya está en manos de otro.

Qué mirar antes de meter una caja china en el living

Como el material se cortó justo en el segundo riesgo, los datos que faltan sobre el manejo de contraseñas dentro del dispositivo no los puedo completar. Lo que los especialistas recomiendan en general para estos casos es informarse antes de comprar. Yo, en lo personal, prefiero quedarme con el viejo cable HDMI y la notebook hasta tener más certezas.