Investigadores detectan una TV box que sale de fábrica con código malicioso y compromete la red del hogar

Un equipo barato, de esos que se enchufan al televisor por HDMI para habilitar streaming y canales sin suscripción, puede llegar al living de la casa ya comprometido. Con un precio de venta que en el mercado argentino ronda los 27.000 pesos en su versión más económica y supera los 66.000 pesos en modelos más completos, las TV boxes se ofrecen en plataformas de comercio electrónico y locales de informática como una puerta de entrada accesible al ecosistema smart. Un estudio presentado en Ekoparty 22 —la conferencia de seguridad informática realizada en Buenos Aires— advierte que, al menos en algunos casos, ese atajo tecnológico puede salir más caro de lo que parece.

La investigación fue llevada adelante por Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad. Compraron un aparato en una feria de Santiago de Chile para estudiar su comportamiento en laboratorio. Al conectarlo y analizar el tráfico de red, detectaron que el dispositivo se comunicaba con un servidor de comando y control (C2) ya catalogado como malicioso por bases de datos públicas de amenazas informáticas. Abrieron el equipo, extrajeron una copia de su memoria y ubicaron el código responsable en el firmware, la capa de software más baja, la que permite que el aparato arranque. Por eso, restaurar la configuración de fábrica o desinstalar aplicaciones no eliminaba el problema: la puerta trasera estaba por debajo del sistema operativo visible.

Riesgos documentados en el análisis

• Funcionar como proxy residencial: la caja hace pasar tráfico de terceros por la conexión Wi-Fi del hogar, de modo que la actividad aparece ante otros sitios como originada desde esa dirección IP. En la práctica, la IP del domicilio puede quedar asociada a comportamientos maliciosos y empezar a recibir bloqueos o verificaciones adicionales en distintos servicios.
• Integrarse a una botnet: el dispositivo puede ser reclutado en una red de aparatos controlados a distancia, dispuesto a ejecutar acciones coordinadas sin conocimiento del usuario.
• Exponer credenciales y datos financieros: si el usuario ingresa contraseñas o datos de tarjetas en aplicaciones instaladas en el equipo, esa información puede quedar al alcance del operador del servidor malicioso.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, investigadores

Para demostrar el riesgo, los investigadores reprodujeron en su propio laboratorio el servidor al que se conectaba el aparato y redirigieron la comunicación hacia una red controlada por ellos. En pocos segundos, las órdenes enviadas desde ese servidor se ejecutaron en la TV box. El comportamiento, señalan, no se limita a un único modelo: el hallazgo formó parte de una investigación que relevó otros dispositivos en similares condiciones en la región, donde la oferta de cajas con precios llamativos y publicidad centrada en la cantidad de canales ha crecido con fuerza.

En Argentina, la variedad de modelos y procedencias vuelve difícil para un comprador no especializado distinguir de antemano un equipo confiable de uno comprometido de origen. Las recomendaciones de los especialistas pasan por evaluar la reputación del fabricante y del vendedor, evitar dispositivos sin marca reconocida o de origen incierto, mantener el firmware actualizado desde canales oficiales y, ante la menor sospecha, descartar el equipo y reemplazarlo por una alternativa de un fabricante con respaldo. Como referencia regional, Bolivia presenta un mercado aún más restringido y con precios relativamente más altos en productos trazables, lo que en términos comparativos reduce la circulación de equipos sin aval de marca y deja menos margen para los modelos sin soporte.

El caso vuelve a poner en discusión la seguridad de una categoría de productos que combina hardware económico y software modifiable, donde el firmware —la pieza menos visible para el consumidor— se convirtió en el eslabón más débil de la cadena. Y lo hace con una moraleja técnica que Paula Condorí,Economía y producción , subraya: en dispositivos conectados, lo barato puede costar mucho más que el precio de góndola cuando lo que está en juego es la red del hogar y los datos que por ella circulan.