Una TV box comprada en Santiago del Estero resultó ser una puerta de entrada para ciberatacantes

En una feria de Santiago del Estero se consigue por algo menos de treinta mil pesos. Es chica, se enchufa al televisor por HDMI y promete convertir cualquier pantalla en una smart TV con aplicaciones de streaming, canales y juegos. Lo que no dice la caja es que, según un análisis presentado en la conferencia de seguridad informática Ekoparty 22, el equipo llega con código malicioso incrustado de fábrica.

Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, compraron uno de estos aparatos para diseccionar su comportamiento. Al conectarlo a una red y observar el tráfico, detectaron que el dispositivo hablaba solito con un servidor de comando y control, conocido en la jerga como C2, ya identificado como malicioso por bases de datos internacionales.

Un malware que sobrevive al reseteo

Para entender por qué el problema no se resuelve con un simple restaurar de fábrica, hay que pensar en capas, como las de un santiagueño que prepara empanadas: la masa de abajo sostiene todo lo que viene encima. En estos equipos, la capa más profunda es el firmware, el software que hace que la máquina arranque, y el código dañino estaba instalado allí, por debajo del sistema operativo Android que ve el usuario.

Los investigadores abrieron el equipo, extrajeron una copia de la memoria y localizaron el programa responsable dentro del firmware. Eso explica que borrar aplicaciones, limpiar caché o volver al estado de fábrica no sirva de nada: la amenaza está antes, en la base que se carga al encender el aparato.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, investigadores

Qué puede hacer el atacante con el equipo

• Robar contraseñas y datos de tarjetas ingresados en el dispositivo o en otras apps del hogar, ya que la TV box comparte la red con computadoras y celulares.
• Convertir la conexión del usuario en un proxy: hacer pasar tráfico de terceros por la Wi-Fi de la casa, de modo que la IP del hogar quede asociada a actividades ilegales y termine bloqueada o bajo sospecha en distintos servicios.
• Sumar el equipo a una botnet, una red de miles de aparatos controlados a distancia para ataques coordinados, sin que el dueño se entere.
• Recibir órdenes en segundos: los investigadores reprodujeron el servidor malicioso y ejecutaron comandos a distancia en pocos segundos, lo que confirma el nivel de control sobre el aparato.

Lo que todavía falta resolver

El caso fue expuesto en Ekoparty 22, una de las conferencias de seguridad informática más importantes de la región, pero no trascendió qué marca ni qué modelo puntual fue analizado. Tampoco hubo hasta ahora un alerta oficial que obligue a retirar lotes del mercado argentino. Por ahora, la única barrera concreta queda del lado del comprador: desconfiar de equipos muy baratos, sin marca reconocida, y entender que un precio bajo puede estar financiando algo más que un ahorro.