Investigadores chilenos detectan un firmware malicioso de fábrica en una TV box económica adquirida en Santiago

La pesquisa fue presentada en la conferencia Ekoparty 22, desarrollada en Buenos Aires, por Anthony De La Paz, especialista en seguridad ofensiva, y Patricio Moraga Abarca, consultor senior de ciberseguridad. Ambos adquirieron el equipo en una feria de la capital chilena y, tras desarmarlo y estudiar su memoria, concluyeron que el código dañino formaba parte del firmware, es decir, de la capa de software previa al sistema operativo que el usuario llega a ver.

Las denominadas TV boxes son pequeñas computadoras que se enchufan al televisor mediante un cable HDMI y ejecutan, en la mayoría de los modelos económicos, una variante de Android. Permiten instalar aplicaciones de streaming, acceder a canales sin abono pago y convertir cualquier pantalla en un Smart TV. En el mercado argentino, se comercializan en plataformas de comercio electrónico y en locales de informática, con valores que oscilan entre los 27.000 y los 66.000 pesos, según el modelo y la forma de pago.

Un enclave hostil dentro del firmware

Al conectar el dispositivo a una red y observar su tráfico, los investigadores advirtieron que el aparato dialogaba con un servidor de comando y control (C2) ya identificado como malicioso por bases de datos de amenazas. Al abrir la carcasa y volcar el contenido de la memoria, localizaron el código responsable en el firmware, lo que explica por qué un restablecimiento de fábrica no eliminaba la amenaza: la rutina dañina operaba un escalón por debajo del sistema visible para el usuario y volvía a activarse en cada encendido.

“Tener uno de estos equipos en casa es como tener a un atacante conectado directamente a tu Wi-Fi.”Anthony De La Paz y Patricio Moraga Abarca, investigadores

Dos vectores de riesgo documentados

• Funcionamiento como proxy: el aparato podía enrutar tráfico de terceros a través de la conexión del hogar, de modo que la dirección IP del usuario quedaba asociada a actividades que nada tenían que ver con el propietario del dispositivo, lo que podía traducirse en bloqueos o verificaciones extra en diversos servicios en línea.
• Integración a una botnet: la TV box quedaba habilitada para sumarse a una red de equipos controlados a distancia y operar de manera coordinada, sin que el usuario percibiera síntoma alguno.
• Exposición de credenciales y datos financieros: si el sistema permanecía intervenido, la información que el usuario cargara dentro del dispositivo quedaba expuesta al operador del servidor malicioso, lo que comprometía contraseñas y datos de tarjetas.

Para comprobar el nivel de control alcanzado, De La Paz y Moraga Abarca reprodujeron en un entorno controlado el servidor al que el equipo se conectaba, desviaron la comunicación hacia una red propia y ejecutaron órdenes en el dispositivo en cuestión de segundos. La prueba, presentada ante el público técnico de la Ekoparty, dejó plasmada la capacidad del atacante para emitir instrucciones sin más intervención que la del propio firmware vulnerado.

El caso reaviva el debate sobre la trazabilidad de los dispositivos electrónicos de bajo costo que circulan en el mercado regional. Tanto en Chile como en la Argentina, las TV boxes se ofrecen sin especificaciones técnicas detalladas ni referencias claras sobre el fabricante del hardware, lo que dificulta identificar al responsable de un firmware comprometido y limita las acciones legales o regulatorias frente a este tipo de hallazgos.