Una TV box comprada en Chile llegó a Buenos Aires con malware en el firmware: podía robar contraseñas y usar la conexión del hogar

Qué pasó: durante la conferencia Ekoparty 22, realizada en Buenos Aires, los especialistas Anthony De La Paz y Patricio Moraga Abarca presentaron el resultado del análisis de una TV box adquirida en una feria de Santiago de Chile. Dónde y a qué hora: la investigación se expuso en el marco del encuentro de seguridad informática más importante de la región, sin que se difundiera un horario puntual de la charla. La carátula del hallazgo es «malware embebido en firmware de dispositivo IoT», sin fiscalía interviniente porque se trata de una investigación privada sin denuncia penal radicada al cierre de esta nota.

De La Paz, especialista en seguridad ofensiva, y Moraga Abarca, consultor senior de ciberseguridad, compraron el equipo en una feria de la capital chilena para estudiar su comportamiento. El dispositivo, una pequeña computadora que se conecta al televisor por HDMI y corre una versión de Android, se consigue en la Argentina por valores que van de los 27.000 a los 66.000 pesos según el modelo y la forma de pago.

El hallazgo técnico

Al conectar el aparato y analizar su tráfico de red, los investigadores detectaron que se comunicaba con un servidor de comando y control, conocido en la jerga como C2, ya catalogado como malicioso. Abrieron el equipo, extrajeron una copia de su memoria y localizaron el código responsable en el firmware, la capa de software que permite que el dispositivo arranque. Por eso un simple reseteo de fábrica no resolvía el problema: el código malicioso estaba por debajo del sistema operativo visible.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca

Los dos riesgos documentados

• Uso de la conexión como proxy: el equipo hacía pasar tráfico de terceros por la red del hogar, de modo que la actividad aparecía ante otros sitios como originada desde la dirección IP del usuario. Eso podía derivar en que la IP quedara asociada a actividad ilícita y sufriera bloqueos o verificaciones extra en distintos servicios.
• Integración a una botnet: el dispositivo podía ser reclutado en una red de equipos controlados a distancia para actuar de forma coordinada en ataques o fraudes.
• Exposición de credenciales y datos financieros: si el usuario ingresaba contraseñas o datos de tarjetas dentro del dispositivo comprometido, esa información quedaba expuesta.

Para demostrar el riesgo, los investigadores reprodujeron en laboratorio el servidor al que se conectaba el equipo, redirigieron la comunicación hacia una red propia y ejecutaron órdenes en pocos segundos. La instancia procesal de la investigación es de carácter técnico y no judicial: los hallazgos fueron expuestos en una conferencia y, según el material disponible, no consta denuncia penal radicada hasta el momento. El próximo paso esperado, si alguna parte afectada decidiera avanzar, sería la presentación de la denuncia ante la fiscalía de turno para que se investigue la cadena de distribución del firmware comprometido.