Compraste una TV box barata y te metieron un ladrón adentro del living

¿Cuántas veces escuchaste que lo barato sale caro? Bueno, en el mundo de las TV boxes, esa frase dejó de ser un dicho de abuela para convertirse en un diagnóstico técnico. Resulta que muchos de esos aparatitos que se enchufan al televisor vía HDMI (o sea, el cable plano que va del decoder o la consola a la pantalla) y que prometen convertir cualquier tele en una smart TV vienen enfermos desde la fábrica. Literalmente.

Qué encontraron exactamente

Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior en ciberseguridad, compraron una de estas cajas en una feria de Santiago de Chile y se la llevaron al laboratorio para ver qué tenía adentro. Lo que hallaron lo presentaron en la Ekoparty 22, la conferencia de hackers que se hace todos los años en Buenos Aires.

Al conectarla, el equipo empezó a hablar solito con un servidor de comando y control, que en la jerga se llama C2 (imaginátelo como un centro de operaciones desde donde un atacante le da órdenes a tu aparato, como un jefe de personal pero con malas intenciones). Ese servidor ya estaba fichado como malicioso por las bases de datos de amenazas. Cuando abrieron la caja y revisaron el firmware (la capa de software invisible que hace que el dispositivo arranque, algo así como el ADN del aparato, lo que está antes de que veas ningún menú en pantalla) dieron con el código responsable.

¿Y por qué no se soluciona reseteando de fábrica? Porque el problema está más abajo del sistema operativo, en ese firmware del que hablamos. Es como si el intruso viviera en los cimientos de tu casa: por más que pintes las paredes y tires los muebles, sigue ahí.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca

Qué puede llegar a pasar con tu conexión

• Que tu conexión a internet sea usada como proxy (es decir, como puente) para que terceros pasen su tráfico por tu Wi-Fi. Para que lo entiendas con un ejemplo bien salteño: es como si un desconocido te pidiera usar tu domicilio para recibir encomiendas, y cuando alguien rastrea los paquetes, todos llegan a tu puerta.
• Que tu dirección IP (el número único que identifica a tu conexión en internet, comparable con tu dirección postal) quede asociada a actividades ilegales, lo que te puede generar bloqueos en páginas, verificaciones extra o directamente que te culpen por cosas que nunca hiciste.
• Que el equipo se sume a una botnet, o sea, una red de aparatos zombi controlados a distancia. Pensalo como un sindicato de electrodomésticos que, sin que vos lo sepas, trabajan gratis para un tercero.
• Que te roben contraseñas, contraseñas que se cargan dentro del dispositivo, y datos de tarjetas bancarias, según el uso que le des a la caja.

Cómo lo demostraron en laboratorio

Los investigadores fueron un paso más allá: armaron su propio servidor, lo pusieron donde estaba el original y redirigieron la comunicación del aparato hacia una red controlada por ellos. En cuestión de segundos pudieron darle órdenes al dispositivo. O sea, pasaron de la teoría a la prueba concreta de que el fabricante o alguien en la cadena de producción metió ese código ahí con intención.

En Argentina estas cajas se consiguen fácil: desde Mercado Libre hasta locales de informática del barrio, con precios que arrancan en 27.000 pesos y pueden llegar a 66.000 según el modelo. Es un mercado enorme y muy poco regulado, y en general nadie te advierte qué hay adentro antes de comprarlo.

Mi recomendación, y la de cualquiera que entienda un poco del tema, es simple: si compraste una y empezaste a notar cosas raras, no alcanza con devolverla a fábrica. Si tenés que usarla, al menos aislala de la red principal con un router secundario, y pensá muy bien qué datos le cargás. Nadie te va a obligar a dejar el aparatito en la caja, pero conviene saber en qué te metés antes de enchufarlo al lado del sillón. Veremos.