El aparatito barato detrás del televisor que puede abrir la puerta de tu casa sin que te enteres

Yo tengo una vieja regla de la abuela de mi tía Rosa, que decía que cuando algo es demasiado barato para ser verdad, casi siempre es porque algo que no vemos está pagando la diferencia. La regla vuelve a cumplirse, esta vez en versión tecnológica, con esos aparatitos chiquitos que se enchufan al televisor por HDMI y prometen convertir cualquier pantalla en una smart TV con canales y aplicaciones gratis: las llamadas TV boxes, que en Argentina se consiguen en Mercado Libre, en locales de informática del Once o de calle Belgrano, y hasta en ferias de electrónica, con precios que arrancan cerca de los 27.000 pesos y pueden superar los 66.000 según el modelo y la forma de pago.

La historia que traigo para contarles la vienen investigando hace rato Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad. Ellos compraron uno de estos equipos en una feria de Santiago de Chile, lo trajeron, lo conectaron y se pusieron a mirar con paciencia qué hacía cuando lo prendían. Lo que hallaron lo presentaron en la Ekoparty 22, la conferencia de seguridad informática que se hizo en Buenos Aires, y la conclusión es de esas que a mí, al menos, me dejaron pensando un rato largo antes de seguir.

El galpón: el dispositivo, por dentro

Para entender el asunto hay que saber que una TV box es, en el fondo, una computadora pequeña. Corre una versión de Android, tiene memoria, procesador y, sobre todo, un firmware, que es la capa de software más baja, esa que hace que el aparato arranque antes de que aparezca cualquier sistema visible. Los investigadores abrieron el equipo, sacaron una copia de la memoria y empezaron a mirar el tráfico de red, o sea, a qué lugares de internet hablaba solito el dispositivo ni bien se lo enchufaba.

Lo primero que encontraron fue que el aparato se comunicaba con un servidor de comando y control (C2) que ya estaba catalogado como malicioso por bases de datos de amenazas. Eso, en criollo, quiere decir que el equipo, sin que nadie tocara nada, ya estaba reportándole a alguien de manera remota. Y cuando fueron a buscar el responsable dentro del firmware, lo hallaron: el código estaba desde el origen, antes del sistema operativo que uno ve en la pantalla.

Borrar y empezar de nuevo no alcanza

Acá viene uno de los puntos más preocupantes de toda la investigación. Muchos de nosotros, cuando un dispositivo anda raro, vamos a Configuración y le damos en restablecer valores de fábrica, pensando que con eso ya quedó como nuevo. Lo que descubrieron De La Paz y Moraga es que en estos equipos eso no sirve: el código malicioso está más abajo que el sistema operativo visible, así que borrar aplicaciones o eliminar los datos del usuario no lo toca. Restaurar de fábrica, justamente, no elimina el problema.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, especialistas en ciberseguridad

Dos riesgos que van más allá del televisor

Lo que hicieron después, para mostrarlo en vivo, fue levantar en un laboratorio una réplica del servidor al que se conectaba el dispositivo, redirigir la comunicación hacia una red propia y empezar a enviarle órdenes. En pocos segundos el equipo les respondió y ejecutó lo que le pidieron. Eso dejó en claro las dos vías de riesgo que se abren.

• El equipo puede operar como proxy, es decir, hacer pasar tráfico de terceros por la conexión de tu casa, de modo que actividades sospechosas aparezcan ante otros sitios como si las hubieras hecho vos desde tu IP. Eso puede terminar con tu dirección bloqueada en distintos servicios o pidiéndote verificaciones extra todo el tiempo.
• Puede integrarse a una botnet, una red de dispositivos controlados a distancia que actúan coordinadamente, muchas veces para ataques a otros blancos sin que el dueño se entere.
• Si se ingresan contraseñas o datos de tarjetas dentro del propio dispositivo, esa información queda expuesta porque el sistema está bajo control del atacante desde el arranque.

Dónde se consiguen, cuándo comprar con cuidado y qué mirar antes de poner la guita

En la Argentina estos equipos se venden en plataformas de comercio electrónico, en locales de informática y en ferias. Los precios arrancan cerca de los 27.000 pesos y pueden llegar a los 66.000 según modelo y forma de pago, algo que los hace muy tentadores frente a una smart TV nueva que puede costar varias veces más. Por eso, antes de comprar, vale la pena prestar atención a algunas señales: investigar la marca y el modelo en foros y bases de datos de seguridad, evitar equipos sin marca reconocible o con precios muy por debajo del mercado, y tener en cuenta que un firmware sospechoso no se borra ni se reinstala con un reset de fábrica. Para quienes ya tienen uno en casa y quieren seguir usándolo, los especialistas recomiendan aislarlo en una red Wi-Fi aparte, no ingresar datos sensibles desde ese equipo y, si hay dudas serias, directamente desenchufarlo y reemplazarlo por uno de marca conocida con actualizaciones reales de seguridad.

Mientras tanto, en la pantalla grande de mi casa, por las dudas, voy a volver al viejo DVD. Será menos smart, pero al menos sé quién me mira.