Una cajita barata, un dolor de cabeza gigante: el bicho ya viene de fábrica

A veces uno se acerca a un stand de feria buscando un golazo tecnológico y termina llevándose a casa un inquilino no deseado. Eso fue lo que les pasó, en rigor, a los investigadores Anthony De La Paz y Patricio Moraga Abarca cuando compraron una de esas TV boxes que prometen convertir cualquier tele en smart TV por unos pocos pesos. La diferencia es que ellos sí sabían lo que buscaban: la abrieron, la conectaron y se encontraron con un firmware diseñado, desde origen, para hacer de las suyas.

El bicho no estaba en una app: estaba antes

La pesquisa, presentada en la Ekoparty 22, la conferencia de seguridad informática que se hace en Buenos Aires, fue quirúrgica. Prendieron el aparato, miraron a qué servidores hablaba y detectaron que se conectaba solito a un equipo de comando y control ya marcado como malicioso. Después abrieron la caja, sacaron una copia de la memoria y fueron a buscar el código al lugar de siempre: el firmware, esa capa de software invisible que es lo primero que carga el dispositivo cuando se enchufa.

Por eso ningún reset servía. Reiniciar de fábrica, borrar las aplicaciones, dejar el equipo como recién salido de la caja: todo inútil. El problema estaba un piso más abajo, debajo del Android visible, en el arranque mismo. Volvés a configurarlo y el bicho sigue ahí, tan campante, esperándote.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, en su presentación en la Ekoparty 22

Para que nadie les dijera exagerados, los investigadores reprodujeron en laboratorio el servidor con el que hablaba la cajita, redirigieron el tráfico a una red propia y le mandaron órdenes. En pocos segundos, el equipo obedecía. No era un susto: era un toma y daca real.

Dos riesgos concretos, y los dos joden

• Tu Wi-Fi se vuelve una autopista para desconocidos: el equipo puede operar como proxy y hacer pasar tráfico de terceros por la conexión de tu casa, lo que termina asociando tu IP a actividades que nada tienen que ver con vos, desde bloqueos en servicios hasta verificaciones extra hasta el hartazgo.
• Tus datos personales quedan expuestos: si ingresás contraseñas o cargás datos de tarjeta dentro del aparato con el sistema bajo control, esa información queda al alcance del atacante. No es un riesgo teórico, es exactamente lo que este tipo de malware busca.
• Puede sumarse a una red mayor: la TV box puede pasar a formar parte de una botnet, es decir, un ejército de dispositivos controlados a distancia para actuar coordinadamente. Tu tele, en red con otras, trabajando para quien ni conocés.

Mi veredicto: no vale la entrada

En la Argentina estos aparatitos se consiguen fácil, en plataformas de comercio electrónico y locales de informática, con precios que arrancan cerca de los 27.000 pesos y pueden superar los 66.000. En tiempos donde la economía pide estirar el mango, una TV box barata parece el hallazgo del año. Pero si el hallazgo viene con firmware comprometido, el ahorro se convierte en una puerta abierta para que alguien te use la conexión, te vacíe la tarjeta o te deje la IP quemada en medio mundo.

No vale la entrada. Ni la mitad. Antes de enchufar una de estas cajas en la tele del living, conviene investigar quién la fabricó, qué dicen otros usuarios y, si hay dudas, directamente no meterla en la red de la casa. La diferencia entre un golazo y un gol en contra, en este mercado, es literalmente lo que viene grabado en la memoria antes de que vos la prendas.