Las TV boxes son pequeñas computadoras que se conectan al televisor por HDMI y corren, en muchos modelos, una versión de Android. Permiten instalar aplicaciones de streaming, acceder a canales sin suscripción paga y convertir cualquier pantalla en smart TV. En Argentina se consiguen en plataformas de comercio electrónico y locales de informática, con precios que van desde los 27.000 hasta los 66.000 pesos según el modelo y la forma de pago.

Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad, compraron uno de estos equipos en una feria de Santiago para estudiar su comportamiento. Lo que encontraron fue presentado en Ekoparty 22, conferencia de seguridad informática realizada en Buenos Aires.

Al conectar el dispositivo y analizar su tráfico de red, los investigadores detectaron que se comunicaba con un servidor de comando y control (C2) ya catalogado como malicioso. Abrieron el equipo, extrajeron una copia de su memoria y localizaron el código responsable en el firmware, la capa de software que permite que el aparato arranque. Eso explica por qué borrar aplicaciones o eliminar los datos del usuario no resolvía el problema: el código malicioso estaba más abajo, antes del sistema operativo visible.

"Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi", describieron De La Paz y Moraga. Para demostrarlo, reprodujeron en laboratorio el servidor al que se conectaba el dispositivo, redirigieron la comunicación hacia una red propia y ejecutaron órdenes en el equipo en pocos segundos.

El equipo comprometido podía operar como proxy: hacía pasar tráfico de terceros por la conexión del hogar, de modo que esa actividad aparecía ante otros sitios como originada desde esa dirección IP. Eso puede derivar en que la IP quede asociada a actividad maliciosa y reciba bloqueos o verificaciones adicionales en distintos servicios. También podía integrarse a una botnet, red de dispositivos controlados a distancia para actuar de forma coordinada.

El segundo riesgo afecta a los datos ingresados dentro del dispositivo. Si el sistema está bajo control externo, las contraseñas escritas y las sesiones abiertas quedan expuestas. Lo mismo aplica a los datos de tarjetas de crédito introducidos en alguna aplicación que corra sobre ese Android.

Los investigadores aclararon que su análisis documenta lo hallado en el equipo específico que compraron, sin afirmar que todos los dispositivos del tipo estén infectados. También señalaron que, al momento de presentar la investigación, el actor detrás del servidor seguía activo.

Hay antecedentes similares: en 2023, la empresa Human Security identificó puertas traseras en TV boxes Android económicas usadas para fraude publicitario y para vender acceso a conexiones residenciales.

¿Tenés una TV box en casa o conocés a alguien que use una? ¿Cambiaría algo saber que el riesgo puede estar en el firmware desde antes de abrirla?