Durante los últimos años proliferaron unas pequeñas cajitas que se conectan a la TV y, como por arte de magia, permiten ver canales de streaming, partidos de fútbol y canales de cualquier parte del mundo. Las TV Boxes son dispositivos que, como un antiguo “deco”, abren a poder ver contenido sin tener que pagar suscripciones, algo muy buscado porque las plataformas ofrecen cada vez un peor servicio. Pero detrás de ese atractivo puede haber algo que el comprador nunca pidió: software malicioso instalado desde antes de que el equipo llegue a su casa.

Dos investigadores chilenos analizaron uno de estos dispositivos y encontraron un sistema preparado para recibir órdenes de un servidor identificado como malicioso. El equipo podía poner la conexión del hogar al servicio de terceros y exponer los datos ingresados, como contraseñas o datos de tarjetas de crédito. Incluso probaron restaurarlo a su configuración de fábrica, pero el código que permitía controlarlo seguía ahí.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi. A través del C2, quien está del otro lado tiene control total del dispositivo”, explicaron a Clarín Anthony De La Paz y Patricio Moraga Abarca, en una entrevista que respondieron en conjunto. C2 es la abreviatura de “comando y control”, el servidor desde el cual un atacante envía instrucciones a los aparatos infectados.

De La Paz trabaja en seguridad ofensiva en Inside Security y Moraga es consultor senior de ciberseguridad en Cybertrust Latam. Ambos se dedican a encontrar fallas y poner a prueba la seguridad de aplicaciones e infraestructuras. Presentaron su investigación en Ekoparty 22, la conferencia de hacking realizada en Buenos Aires la semana pasada.

El análisis documenta lo que encontraron en el equipo estudiado, sin permitir afirmar que todas las TV boxes estén infectadas. También muestra una dificultad para quienes compran estos productos: el dispositivo puede reproducir el partido o la película como se espera y, al mismo tiempo, ejecutar tareas ocultas.

Patricio Moraga (izquierda) y Anthony De La Paz, durante su charla en Ekoparty: "Enchufar y rezar". Foto: Gentileza Patricio Moraga

Qué son las TV boxes, cómo funcionan y cuánto cuestan en Argentina

Una TV box es, en términos simples, una pequeña computadora que utiliza el televisor como pantalla. Tiene un procesador, memoria, almacenamiento y un sistema operativo, que en muchos modelos es una versión de Android. Se conecta por HDMI, recibe internet por Wi-Fi o por cable y se maneja con un control remoto.

Durante los últimos años se hicieron muy populares por dos motivos. Por un lado, porque sirven para convertir a cualquier TV en Smart sin necesariamente depender de un proveedor de “cable”. Y, por el otro, porque se les puede instalar aplicaciones no necesariamente oficiales, que sirven para acceder a contenido sin pagar. Una suerte de dispositivo similar a los “decos” que se vendían en la calle en los 90 para poder ver tele codificada sin pagar oficialmente el servicio mensual.

En Argentina se consiguen en Mercado Libre, comercios de informática y tiendas de electrónica. Una consulta de publicaciones locales muestra opciones económicas en torno a $27.000 a $66.000, según el equipo y la forma de pago. Es decir: son muy accesibles.

Los equipos más dudosos son aquellos que apuntan al mercado de retransmisiones sin autorización y algunos vendedores entregan los equipos con aplicaciones instaladas o instrucciones para agregarlas. En Argentina, un antecedente conocido es Magis TV, sobre el que Clarín publicó una investigación en septiembre de 2024.

Se trata de una aplicación de televisión por internet que se encontró preinstalada en TV boxes comercializadas en el país. La app y el aparato son dos componentes distintos: una misma aplicación puede ejecutarse en diferentes dispositivos y una TV box puede utilizarse para muchos otros servicios.

En aquel momento, especialistas consultados por este medio explicaron que estas plataformas retransmitían señales y ofrecían contenido desde servidores a los que se conectaba la aplicación. La charla de los investigadores no identifica a Magis TV como el origen de la infección que analizaron.

El trabajo de De La Paz y Moraga empezó en una feria de Santiago, donde encontraron decodificadores Android baratos y después advirtieron que también se ofrecían en otros comercios. Decidieron comprar uno para estudiar qué hacía al conectarse.

“Trabajamos en dos frentes. Por un lado, conectamos el equipo y analizamos su tráfico de red. Ahí vimos que se comunicaba con un servidor de comando y control (C2) que ya estaba identificado como malicioso”, contaron a este medio. En paralelo, abrieron el aparato y extrajeron una copia completa de su memoria para examinar el software.

El hallazgo estaba en el firmware, el software de base que permite que el dispositivo arranque y funcione. Allí localizaron el código encargado de comunicarse con el servidor externo. Según su análisis, el equipo ya venía comprometido, con permisos de máximo control habilitados y protecciones de seguridad desactivadas.

“Estaba muy bien oculto, pero logramos sacarlo a la luz”, señalaron. La ubicación del código explica por qué borrar aplicaciones o eliminar los datos del comprador resultaba insuficiente para resolver el problema.

Para comprobar el control remoto, reprodujeron en su laboratorio el funcionamiento del servidor al que se conectaba el dispositivo. Redirigieron esa comunicación hacia un servidor propio, dentro de una red local, y consiguieron ejecutar órdenes en el equipo en pocos segundos. No tomaron el control de la infraestructura del atacante, aclararon en la entrevista.

La prueba permitió demostrar qué podía hacer quien manejara esa comunicación a través de internet. Los investigadores evitaron atribuir la operación a una organización específica y señalaron que, al momento de responder, el actor de amenazas seguía activo. La ubicación de un servidor, por sí sola, tampoco permite establecer quién está detrás.

Existen antecedentes internacionales de dispositivos vendidos con software malicioso preinstalado. En 2023, Wired informó sobre una investigación de Human Security que identificó puertas de acceso ocultas en TV boxes Android económicas y los equipos podían utilizarse para fraude publicitario y para ofrecer a terceros acceso a conexiones residenciales. Esta semana, Anthropic advirtió que los agentes de IA se pueden replicar entre dispositivos de este tipo (IoT) para actividades maliciosas.

Ese antecedente documenta el problema más amplio, sin establecer que se trate de la misma campaña presentada en Ekoparty.

Qué riesgos tienen y qué hacer si ya hay una TV box en casa

La investigación de Ekoparty demostró cómo los TV Boxes pueden robar datos. Foto: Gentileza investigadores

Una de las funciones encontradas por los investigadores permite utilizar el aparato como proxy, un intermediario que hace pasar tráfico de terceros por la conexión del comprador. Para un sitio que recibe esas conexiones, la actividad parece salir de la casa donde está enchufada la TV box.

“El atacante puede usar la conexión de tu casa como pasarela para atacar otros sitios, por ejemplo como parte de una botnet”, explicaron a Clarín. Una botnet es una red de dispositivos controlados a distancia, que pueden actuar de manera coordinada sin que sus dueños lo sepan.

Esto puede tener consecuencias incluso si el comprador nunca ingresa una contraseña en el aparato. Según los especialistas, la dirección IP del hogar, que identifica su conexión en internet, puede quedar asociada a actividad maliciosa. Algunos sitios podrían entonces bloquearla o exigir verificaciones adicionales para permitir el acceso.

El segundo riesgo afecta a las cuentas y los datos utilizados dentro del dispositivo comprometido. Si el sistema está bajo control de un atacante, las credenciales que se escriben o las sesiones que quedan abiertas pueden quedar expuestas. Eso incluye cuentas de correo y de entretenimiento, además de información de pago que se haya ingresado en el equipo.

Los investigadores recomiendan tratar esas credenciales como comprometidas. “Como el dispositivo está comprometido, todo lo que se ingresa en él pasa a manos del delincuente. Eso significa que las cuentas que la gente usa en estos equipos, como Google, Netflix, Spotify o cualquier otra, hay que darlas por robadas. Con las tarjetas de crédito pasa lo mismo: si alguien ingresó su tarjeta para pagar una suscripción o comprar algo desde el equipo, lo más probable es que esos datos ya estén filtrados”, explicaron.

También existe la posibilidad de que el dispositivo se utilice para buscar otros equipos conectados a la misma red. Los especialistas mencionan cámaras con contraseñas predeterminadas, computadoras desactualizadas o carpetas compartidas como posibles objetivos.

Ese avance hacia otros dispositivos se conoce como movimiento lateral. El alcance depende de las condiciones de la red y de la seguridad de cada equipo: compartir Wi-Fi no significa que todos los celulares o computadoras queden automáticamente bajo control del atacante. Tampoco permite leer, sin más, todas las comunicaciones cifradas. Pero agrega un punto desde el que se pueden intentar nuevos ataques.

Para el comprador, reconocer el problema a simple vista es difícil. Según los investigadores, los nombres y las características impresas en las cajas tampoco siempre permiten identificar qué hay adentro.

“Encontramos exactamente la misma placa en al menos tres productos con empaques distintos. Lo único que cambia es la caja de plástico”, explicaron. Esa variación complica tanto la identificación de equipos afectados como la búsqueda de una actualización compatible. Básicamente, es muy difícil saber si se tiene entre manos un dispositivo comprometido.

Los especialistas advierten, además, sobre la aparente tranquilidad que puede dar una compra en un local. “La gente se lleva el equipo a la casa pensando que es algo seguro y, si lo compró en un comercio formal, supone que pasó por algún tipo de revisión”, señalaron. La seguridad del software instalado es una característica que el consumidor difícilmente pueda comprobar en el mostrador.

Ante un equipo identificado como comprometido, la primera recomendación es desconectarlo de internet. Después, cambiar desde un dispositivo confiable las contraseñas de las cuentas utilizadas allí. Si se ingresaron datos de una tarjeta, los investigadores aconsejan contactar al banco para gestionar su reemplazo.

Restaurar la configuración de fábrica puede parecer una solución accesible, pero en el aparato que estudiaron no funcionó. “Es algo que probamos en la investigación: restablecimos el equipo de fábrica para ver si el malware desaparecía, y no fue así. El código malicioso está en el propio firmware, en la ROM del dispositivo. Restaurarlo solo lo devuelve a ese mismo estado infectado”, explicaron a este medio.

Una red de invitados puede ayudar a reducir la exposición de otros equipos, siempre que esté configurada para impedir la comunicación con la red principal. Los investigadores la plantean como una medida de contención para quienes decidan continuar usando el dispositivo, junto con evitar ingresar cuentas o datos personales.

El problema es que esa separación tiene límites, ya que el aparato seguiría comprometido y podría continuar utilizando la salida a internet del hogar para actuar como intermediario. “No diríamos que eso lo vuelve seguro, pero sí contiene la amenaza”, advirtieron. También reconocen que conseguir un aislamiento adecuado puede ser difícil sin conocimientos de redes.

Cómo usarlos de manera segura

Servicios de streaming en un solo dispositivo: cómo usarlos sin riesgo. Foto: Adobe

Al evaluar una compra, conviene poder identificar al fabricante, comprobar qué soporte ofrece y verificar si recibe actualizaciones. La certificación del dispositivo también aporta información. El precio o una etiqueta que promete alta resolución resultan insuficientes para evaluar la seguridad del sistema que viene instalado.

De La Paz y Moraga trabajan en una alternativa para los equipos que analizaron: reemplazar su software de base por versiones limpias. Según adelantaron a Clarín, planean publicar la investigación y esas versiones de forma gratuita, junto con una herramienta que permita reconocer la placa de cada aparato. Al momento de la entrevista, era un proyecto en desarrollo, no una solución disponible para recomendar a cualquier comprador.

“Tampoco queremos que la gente tenga que tirarlos. A todos nos cuestan las cosas, y si alguien compró un equipo para usarlo como Android TV, quiere seguir usándolo así, pero de forma segura y sin que le estén robando sus datos”, concluyeron.