VOX FM 102.9 SITIO OFICIAL!
En los últimos años se volvieron muy populares en la Argentina y en toda América Latina: son pequeñas cajitas que se conectan al televisor y permiten ver canales de streaming, partidos de fútbol y señales de todo el mundo sin pagar suscripciones. Pero detrás de ese atractivo puede esconderse algo que el comprador nunca pidió: software malicioso instalado antes de que el equipo llegue a su casa.
Dos investigadores chilenos, Anthony De La Paz, especialista en seguridad ofensiva de Inside Security, y Patricio Moraga Abarca, consultor de ciberseguridad en Cybertrust Latam, analizaron uno de estos dispositivos y encontraron un sistema preparado para recibir órdenes de un servidor identificado como malicioso. Presentaron su trabajo la semana pasada en Ekoparty, la conferencia de hacking que se realiza en Buenos Aires.
Según explicaron, el aparato podía poner la conexión a internet del hogar al servicio de terceros y exponer los datos que el usuario ingresara, como contraseñas o números de tarjetas de crédito. Incluso intentaron restaurarlo a la configuración de fábrica, pero el código que permitía controlarlo seguía ahí. «Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu wifi. A través del C2, quien está del otro lado tiene control total del dispositivo», advirtieron. C2 es la sigla de «comando y control», el servidor desde el que un atacante envía instrucciones a los equipos infectados.
Los investigadores aclararon que su análisis documenta lo que encontraron en el equipo estudiado y no permite afirmar que todas las TV boxes estén infectadas. Pero sí muestra una dificultad para quienes los compran: el aparato puede reproducir el partido o la película sin problemas y, al mismo tiempo, ejecutar tareas ocultas sin que el usuario lo note.
Una TV box es, en esencia, una pequeña computadora que usa el televisor como pantalla. Tiene procesador, memoria, almacenamiento y un sistema operativo, que en muchos modelos es una versión de Android. Se conecta por HDMI, recibe internet por wifi o por cable y se maneja con un control remoto. Su éxito se explica por dos motivos: convierten cualquier televisor en un Smart TV sin depender de un cableoperador y permiten instalar aplicaciones no oficiales para acceder a contenidos pagos de manera gratuita.
En la Argentina se consiguen en Mercado Libre, casas de informática y tiendas de electrónica por entre $27.000 y $66.000, según el modelo. Los más dudosos son los que apuntan a las retransmisiones sin autorización, que muchas veces se venden con aplicaciones ya instaladas.
La investigación empezó en una feria de Santiago de Chile, donde los especialistas compraron un decodificador Android barato. Al analizar su tráfico vieron que se comunicaba con un servidor ya identificado como malicioso, y al extraer una copia de su memoria encontraron el código oculto en el firmware, el software de base del aparato, con permisos de control total y las protecciones de seguridad desactivadas. Por eso borrar aplicaciones o restaurarlo de fábrica no sirve: «Solo lo devuelve a ese mismo estado infectado», explicaron.
Uno de los riesgos es que el equipo funcione como proxy, es decir, que haga pasar tráfico de terceros por la conexión del comprador. «El atacante puede usar la conexión de tu casa como pasarela para atacar otros sitios, por ejemplo como parte de una botnet», advirtieron. Así, la dirección IP del hogar puede quedar asociada a actividad maliciosa y ser bloqueada por algunos sitios. El otro riesgo son las cuentas: «Las cuentas que la gente usa en estos equipos, como Google, Netflix, Spotify o cualquier otra, hay que darlas por robadas. Con las tarjetas de crédito pasa lo mismo». El aparato, además, podría usarse para buscar otros equipos vulnerables en la misma red, como cámaras con contraseñas de fábrica.
Detectar el problema a simple vista es casi imposible: los investigadores encontraron «exactamente la misma placa en al menos tres productos con empaques distintos», y advierten que comprarlo en un comercio formal no garantiza que haya pasado algún control.
Ante un equipo comprometido, la primera recomendación es desconectarlo de internet, cambiar desde un dispositivo confiable las contraseñas de las cuentas usadas en él y, si se cargó una tarjeta, pedirle al banco que la reemplace. Quien decida seguir usándolo puede conectarlo a una red de invitados aislada de la principal y evitar ingresar datos personales, aunque los especialistas aclaran que eso «no lo vuelve seguro, pero sí contiene la amenaza». A la hora de comprar, aconsejan identificar al fabricante, verificar que reciba actualizaciones y que tenga certificación. De La Paz y Moraga trabajan, además, en versiones limpias del software para estos equipos, que planean publicar gratis.
