Una TV box comprada en una feria de Santiago terminó siendo la prueba más elocuente de por qué hay que tener cuidado con lo que se enchufa al televisor

Les cuento de entrada la imagen que me quedó dando vueltas después de leer este trabajo, porque me parece que resume bastante bien de qué va la cosa: tener una de estas cajitas conectadas en el living es, según los propios investigadores que la estudiaron, como tener a un atacante sentado cómodamente en la red Wi-Fi de tu casa, mirando todo lo que pasa y con permiso para hacer y deshacer a gusto. La frase es de Anthony De La Paz y Patricio Moraga Abarca, dos especialistas que se dedican a la seguridad ofensiva y a la consultoría senior en ciberseguridad, y la soltaron en Buenos Aires durante la Ekoparty 22, una de las conferencias de seguridad informática más reconocidas de la región, donde presentaron los hallazgos de una investigación que arrancó en una feria libre de Santiago de Chile y terminó con un dispositivo abierto en la mesa de un laboratorio, mostrando sus tripas.

Lo que ellos compraron fue una TV box de las más económicas que se consiguen circulando en el mercado regional: un aparatito del tamaño de la palma de la mano, que se enchufa al televisor por HDMI y corre una versión de Android. En Argentina se ven a cada rato en plataformas de comercio electrónico y en locales de informática, con precios que arrancan cerca de los 27.000 pesos y pueden trepar hasta los 66.000 según el modelo y la forma de pago. La gracia, en la teoría, es que permiten instalar aplicaciones de streaming, acceder a canales que de otro modo exigirían una suscripción paga y convertir cualquier tele en una smart TV sin gastar una fortuna. En la práctica, al menos en el equipo que analizaron estos muchachos, la cosa viene con un regalo extra que nadie pidió.

El firmware como campo minado

Cuando lo conectaron a la red y se pusieron a mirar con herramientas de análisis qué era lo que hablaba con quién, los investigadores detectaron algo que les llamó la atención de inmediato: el dispositivo se comunicaba solito, sin que nadie le pidiera nada, con un servidor de comando y control ya catalogado como malicioso. Para los que no estamos tan metidos en el tema, un servidor de comando y control es básicamente la central desde la que un atacante le da órdenes a un equipo infectado: pídele tal cosa, mandame tal otra, hacé tal movimiento. Es el cerebro remoto de la operación.

Decididos a entender qué estaba pasando, De La Paz y Moraga abrieron la caja, extrajeron una copia de la memoria del equipo y empezaron a hurgar hasta dar con el código responsable de esa comunicación. Lo encontraron en el firmware, que es la capa de software más profunda, esa que está por debajo del sistema operativo visible y que es la que hace que el aparato siquiera arranque. Y acá viene la parte que más me llamó la atención, porque explica por qué muchos de los que compran estos equipos y seponen a borrar aplicaciones, restablecer a valores de fábrica o hacer todo el ritual de limpieza recomendado siguen teniendo el problema: el código malicioso estaba un piso más abajo, en un lugar al que el usuario común ni siquiera puede llegar con las opciones normales del sistema. Formatear, en criollo, no servía de nada.

Para que la demostración no quedara solo en la pantalla, los investigadores montaron un laboratorio: reprodujeron el servidor malicioso al que se conectaba la TV box, redirigieron la comunicación hacia una red controlada por ellos y le mandaron órdenes al dispositivo. En pocos segundos, el equipo respondió como si fuera un loro bien amaestrado, ejecutando lo que le pedían sin chistar. Eso, en el mundo de la seguridad, es lo que se llama una prueba de concepto cerrada, y suele ser la antesala de lo que puede pasar cuando el que está del otro lado es alguien con malas intenciones y no un equipo de chercheurs con buena voluntad.

Dos riesgos, una misma caja

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, en la Ekoparty 22

• Riesgo uno, el de la conexión: la TV box comprometida podía operar como proxy, es decir, hacer pasar tráfico de terceros por la conexión del hogar. Eso significa que actividades potencialmente ilegales aparecían ante distintos servicios como si las hubiera hecho la IP de la familia, con el riesgo concreto de que esa dirección quede asociada a actividad maliciosa y empiece a recibir bloqueos o verificaciones adicionales en plataformas de todo tipo. También podía integrarse a una botnet, que es una red de dispositivos controlados a distancia que actúan de manera coordinada, muchas veces sin que sus dueños tengan la menor idea de que están participando.
• Riesgo dos, el de los datos: si el sistema está bajo control de un atacante, todo lo que el usuario ingrese dentro del dispositivo queda expuesto. Hablamos de contraseñas, datos de tarjetas, credenciales de servicios de streaming, cuentas de mail, lo que se le ocurra. En un aparato que mucha gente usa justamente para loguearse en plataformas y meter datos de pago, la combinación es, cuanto menos, preocupante.

Yo no soy técnico en seguridad ni pretendo serlo, pero después de leer este trabajo me queda una sensación bastante clara, y se la quiero compartir porque creo que vale la pena: cada vez que enchufamos un dispositivo desconocido a la red de nuestra casa estamos abriendo la puerta y, en muchos casos, ni siquiera sabemos quién del otro lado la está cruzando. Las TV boxes económicas son una solución tentadora para no quedar afuera del mundo del streaming o para revivir un televisor viejo, pero este caso muestra que el precio bajo a veces se paga en otros lugares, y que formatear no alcanza. Antes de comprar una, conviene investigar la marca, el modelo y, sobre todo, de dónde sale. Y si ya hay una enchufada en el living, bueno, nunca está de más pensar dos veces qué se le confía. La Ekoparty, vale aclarar, es una conferencia que se hace todos los años en Buenos Aires y que reúne a investigadores de toda la región; lo que De La Paz y Moraga presentaron allí es, en definitiva, una invitación a mirar con otros ojos esa cajita que parece tan inofensiva al lado del televisor.