Cuando el aparato que compraste para ver series llega listo para espiarte: la advertencia de dos expertos tras desarmar una TV box

Quiero empezar esta nota con la imagen de Patricio, un consultor de ciberseguridad, destornillando en una mesa de trabajo una TV box comprada por menos de lo que cuesta una salida a comer. La abrió con cuidado, conectó un cable a su memoria y, antes de que el aparato terminara de cargar el menú principal, ya sabía que algo andaba mal: el dispositivo, sin que nadie tocara nada, se había comunicado solo con un servidor remoto catalogado como peligroso. Esa experiencia, que parece sacada de una novela de suspenso, es la que me tocó reconstruir para entender por qué un objeto tan cotidiano como una caja conectada al televisor puede terminar siendo una puerta de entrada para un atacante.

La advertencia llega de la mano de dos especialistas chilenos que presentaron su investigación en la Ekoparty 22, la conferencia de seguridad informática que se realiza en Buenos Aires. Anthony De La Paz, experto en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, adquirieron uno de estos equipos en una feria de Santiago de Chile para analizar su comportamiento desde cero. Lo que descubrieron lo contaron en esa jornada y es lo que hoy quiero compartir, porque hay un dato oficial del Ministerio de Seguridad de la Nación, a través de la Dirección Nacional de Ciberseguridad, que reconoce el crecimiento de dispositivos de bajo costo con firmware alterado como uno de los vectores de ataque más frecuentes en hogares argentinos durante el último año.

Que es una TV box y por que se volvio tan comun

Una TV box es una pequena computadora del tamano de la palma de la mano que se conecta al televisor por un cable HDMI y, en la mayoria de los modelos que se venden en el pais, corre una version de Android. Permite instalar aplicaciones de streaming, acceder a canales de television sin'abonnement paga y, en theory, convertir cualquier pantalla en un smart TV. En Argentina se consiguen con facilidad en plataformas de comercio electronico y en locales de informatica, con precios que van desde los 27.000 hasta los 66.000 pesos segun el modelo y la forma de pago. Esa accesibilidad es, a la vez, su mayor atractivo y su mayor riesgo.

Que encontraron los investigadores al desarmarla

• actividad1
• actividad2

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, especialistas en ciberseguridad

Al conectar el dispositivo y observar el comportamiento de su trafico de red, los investigadores detectaron que el equipo se comunicaba, sin intervencion del usuario, con un servidor de comando y control, conocido en la jerga como C2, que ya estaba catalogado como malicioso por distintas bases de datos de amenazas. Abrieron la carcasa, extrajeron una copia binaria de su memoria y localizaron el codigo responsable en el firmware, es decir el software de base que permite que el aparato arranque y reconozca su hardware. Esa capa es anterior al sistema operativo visible, lo que explica por que restaurar el equipo a configuracion de fabrica o borrar las aplicaciones instaladas no alcanza para resolver el problema: el codigo malicioso esta mas abajo, donde el usuario no llega con un simple reseteo.

Para comprobar el nivel de control que tenia ese servidor sobre el dispositivo, De La Paz y Moraga Abarca reprodujeron en un laboratorio aislado el servidor al que se conectaba la TV box, redirigieron la comunicacion hacia una red controlada por ellos y ejecutaron ordenes en pocos minutos. Entre lo que descubrimos se destaca que el equipo comprometido podia operar como proxy residencial, es decir prestar la conexion del hogar para que terceros hagan pasar su trafico por esa direccion IP. En terminos cotidianos: si alguien comete un delito desde la red de tu casa, la direccion IP que queda registrada es la tuya. Eso puede derivar en que tu IP quede asociada a actividad maliciosa y recibas bloqueos, captchas eternos o verificaciones adicionales en distintos servicios. Ademas, el dispositivo podia integrarse a una botnet, una red de equipos controlados a distancia que actuan de forma coordinada, muchas veces sin que el dueno lo sepa.

Que se puede hacer desde casa

• Consejo 1
• Consejo 2
• Consejo 3