Comprar una TV box barata puede salirte más caro que el cable que querés dejar

Te juro que lo vi con mis propios ojos: el otro día un amigo enchufó una cajita nueva al televisor, empezó a ver partidos gratis y a los diez minutos me dijo "mirá qué bueno esto, twenty lucas yolve todo el fútbol". Le pregunté si había leído algo sobre de dónde venía. Me miró con cara de pochte y cambió de tema. Ahora, después de leer lo que voy a contarte, no sé si lo voy a saludar en la calle.

Un par de investigadores chilenos estuvo husmeando una de esas TV boxes que se consiguen en cualquier feria o en Mercado Libre a precios muy tentadores. Anthony De La Paz y Patricio Moraga Abarca compraron una, se la llevaron al laboratorio y la abrieron como quien destripa un pollo. Lo que encontraron adentro se presentó en la Ekoparty 22, la conferencia de ciberseguridad que se hace cada año en Buenos Aires y que, dicho sea de paso, está a la altura de las mejores del mundo, aunque acá muchos crean que la seguridad informática es cosa de hackers con capucha y.

Qué es una TV box y por qué debería importarte

Una TV box es básicamente una computadora chiquita, del tamaño de un joystick de PlayStation 1, que se enchufa al televisor por un cable HDMI y corre una versión de Android. Te permite instalar apps de streaming, ver canales sin pagar un abono formal y convertir cualquier tele tonta en smart. Acá se consiguen desde los veintisiete mil hasta los sesenta y seis mil pesos, según el modelo y si pagás en cuotas o de una.

Lo que encontraron los investigadores

Al conectar el aparato y mirar con lupa el tráfico de red, vieron algo que les erizó la piel: la caja hablaba solita con un servidor de comando y control, esa cosa que en la jerga se llama C2 y que es básicamente el lugar desde el que alguien te maneja la troupe a distancia. Cuando la abrieron y revisaron la memoria, el código maligno estaba en el firmware, que es como el alma del aparato: el software más profundo, el que hace que la máquina ni siquiera termine de arrancar si falta. Por eso resetearla de fábrica no servía de nada. Es como tapar una gotera con cinta de embalar cuando lo que se rompió es el tanque de agua entero.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, investigadores de seguridad informática

Lo que puede hacer la caja sin que te enteres

• Actuar de proxy: hacer pasar el tráfico de terceros por tu conexión a internet, de modo que cualquier cosa sospechosa que hagan aparezca como si la hubieras hecho vos desde tu casa.
• Integrarse a una botnet, que es como un ejército de dispositivos zombi controlados a distancia. Tu cajita pasa a ser un soldado más sin que te enteres.
• Robar contraseñas y datos de tarjetas que cargues mientras uses el dispositivo, ya sea para pagar una suscripción o iniciar sesión en algún servicio.
• Dejar tu IP domiciliaria asociada a actividades oscuras, lo que puede provocar bloqueos, captchas infinitos o que te pidan verificar que no sos un robot hasta el cansancio.

Lo más inquietante del asunto es que todo esto pasa antes de que vos toques nada. La caja ya viene así, de origen. El fabricante o alguien en la cadena de producción le metió ese código a propósito. Por eso ni resetear ni borrar apps resuelve el problema: la amenaza está debajo del sistema operativo, en una capa que el usuario común ni sabe que existe. Es como si te vendieran un departamento donde el gas está mal conectado desde el día uno, y no alcanza con limpiar la cocina.

Qué hacer si ya tenés una de estas

Mi consejo es bastante terrenal: si compraste una TV box en una feria, en un local de a culata o en una publicación sospechosa de redes sociales, pensá seriamente en desenchufarla y llevarla al basurero tecnológico más cercano. Si te da cosa tirar veintisiete lucas, al menos no la conectes a la misma red Wi-Fi donde está tu computadora con Home Banking ni donde hacés compras. Y si te manejás con el cable de red directo al modem, mejor todavía: aislala en una red de invitados, esa que la mayoría de los routers traen y que casi nadie usa. Aclaro: esa red no te protege al cien por cien, pero al menos complica el camino. La solución de fondo es comprar equipos de marcas reconocidas, aunque cuesten un poco más. Al final, como siempre, lo barato sale caro. Y en este caso lo caro sale en figuritas.