TV boxes económicas: un equipo comprometido de origen puede convertir la red del hogar en pasarela de actividades ilícitas

El hallazgo partió de una compra concreta. Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, adquirieron una TV box económica en una feria de Santiago de Chile y la sometieron a un análisis técnico cuyo resultado presentaron en la conferencia Ekoparty 22, realizada en Buenos Aires. En la Argentina, estos dispositivos se ofrecen en plataformas de comercio electrónico y locales de informática, con precios que oscilan entre los 27.000 y los 66.000 pesos según el modelo y la forma de pago.

El equipo, una pequeña computadora que se conecta al televisor por HDMI y suele correr una versión de Android, llegó a manos de los investigadores con un firmware alterado en origen. Esa capa de software, anterior al sistema operativo visible, contenía código que enlazaba el aparato con un servidor de comando y control (C2) ya catalogado como malicioso por bases de datos de amenazas. La investigación, replicada en laboratorio, confirmó que esa comunicación se establecía de manera automática y que el equipo quedaba a disposición de terceros.

Vamos a los números del riesgo

• Exposición de credenciales y datos financieros: el firmware comprometido podía capturar contraseñas y números de tarjeta ingresados dentro del dispositivo o en sesiones que atraviesen la conexión del hogar.
• Uso como proxy: el equipo podía hacer pasar tráfico de terceros por la red doméstica, de modo que la actividad apareciera ante otros sitios como originada desde la dirección IP del hogar.
• Integración a botnets: el aparato podía incorporarse a una red de dispositivos controlados a distancia para ejecutar acciones coordinadas.

Los investigadores fueron más allá y reprodujeron en entorno controlado el servidor con el que se comunicaba el dispositivo. Tras redirigir el tráfico hacia una red propia, lograron ejecutar órdenes en el equipo en pocos segundos. La frase que eligieron para dimensionar el alcance fue directa: "Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi".

El aspecto más sensible del hallazgo es la persistencia. Los especialistas comprobaron que un ataque de este tipo no se resuelve con medidas superficiales: no alcanza con borrar aplicaciones, restablecer permisos ni siquiera con restaurar la configuración de fábrica, porque el código malicioso reside en una capa inferior al sistema operativo visible. Identificarlo exige abrir el equipo, extraer una copia de la memoria y revisar el firmware, un procedimiento fuera del alcance del usuario común.

Qué cambia en el bolsillo de una familia del norte

La consecuencia económica no se limita al precio de compra del aparato. Si la dirección IP del hogar queda asociada a actividad maliciosa, distintos servicios pueden aplicar bloqueos, solicitar verificaciones adicionales o restringir accesos, lo que se traduce en pérdida de tiempo y eventuales costos para recuperar cuentas bancarias o de correo. En hogares donde se opera con home banking y billeteras virtuales desde la misma red que alimenta la TV, la exposición resulta mayor: cualquier credencial que circule por esa conexión queda dentro del alcance del atacante.

El episodio reabre una discusión más amplia sobre la cadena de suministro de dispositivos de bajo costo. Comprar un equipo sin trazabilidad de marca, firmware verificado ni soporte técnico representa, según el cuadro descrito en Ekoparty, un punto de entrada que el usuario no puede revertir por sí mismo, una variable que conviene considerar antes de sumar uno de estos aparatos al living de una casa del Norte argentino.