La primera solución al problema de los TV Boxes.

Una TV Box puede parecer apagada o sin uso y, aun así, consumir todo el ancho de banda de subida de una conexión. Eso fue lo que distintos proveedores de internet reportaron en la comunidad de CAPPI: equipos que enviaban tráfico sin parar y que, al desconectarse, liberaban inmediatamente la red.

Al ver que el problema persistía tras varios meses de reportes de ISPs, desde Macch decidimos desarrollar una solución 100% gratuita y de código abierto: CureBox. Un software multiplataforma compatible con Windows, macOS y Linux que puede cerrar las vulnerabilidades de una típica TV Box económica disponible en el mercado, cortando así las posibilidades de los atacantes para instalar malware, como las ya conocidas botnets.

TV Boxes compatibles a fecha de hoy

Tutorial: ¿Cómo usar CureBox?

Dos TV Boxes con el mismo nombre o aspecto pueden ser diferentes por dentro. CureBox comprueba la identidad exacta del equipo antes de ofrecer una reparación. Todo el proceso ocurre desde la aplicación:

1. Completá las conexiones del diagrama: conectá la TV Box a la corriente, a la computadora por LAN, y a la TV o monitor por HDMI.
2. Abrí CureBox y elegí "Verificar Dispositivo".
3. Seguí las indicaciones en pantalla para preparar la conexión aislada.
4. Esperá mientras CureBox revisa el equipo.
5. Leé el resultado. Si la caja no es compatible, CureBox se detiene y explica que no puede repararla con seguridad.
6. Si es compatible, CureBox presenta la corrección adecuada y vuelve a pedir tu confirmación.
7. Confirmá el proceso y mantené la TV Box conectada hasta que CureBox indique que terminó.
8. Seguí la comprobación final en pantalla para confirmar que la caja enciende y reproduce contenido.

El caso, explicado en términos simples

Qué estaba ocurriendo

Una TV Box normalmente descarga video. En los reportes de CAPPI, algunas cajas aparentemente inactivas enviaban entre 40 y 100 Mbps y, en una observación, cerca de 27.000 paquetes por segundo. Ese patrón se parece más a un repetidor abusivo, un escáner o una pieza de una red de denegación de servicio (DDoS) que a una reproducción de contenido.

Existe una posible explicación para el incidente general: una familia de programas maliciosos conocida por tomar el control de dispositivos Android y generar tráfico masivo (Kimwolf o Vibenet, por ejemplo).

Gracias a la donación del primer grupo de ejemplares infectados de la marca Dinax por parte de Liryc Internet, pudimos ponernos a trabajar.

Qué sí se demostró en los equipos Dinax

El sistema instalado de fábrica incluía varias puertas capaces de instalar aplicaciones y ejecutar órdenes con control total:

• Una herramienta de mantenimiento expuesta a la red;
• Un servicio que aceptaba órdenes con los permisos más altos;
• Componentes capaces de instalar programas sin intervención del usuario;
• Una pantalla de inicio que podía recibir instrucciones remotas y mantener aplicaciones activas;
• Protecciones de Android desactivadas o debilitadas.

En palabras fáciles: aunque no pudiéramos señalar un único archivo y decir “este es el virus”, sí pudimos demostrar que el sistema venía de fábrica con una puerta trasera suficientemente poderosa como para colocar y conservar uno.

Por qué un reinicio de fábrica no alcanza

Restablecer una TV Box suele borrar las aplicaciones y los datos del usuario, pero conserva el sistema de fábrica. En este equipo, las puertas de acceso peligrosas formaban parte de dicho sistema. El reinicio podía limpiar una consecuencia y dejar intacta la entrada.

Bloquear una dirección IP tampoco resuelve el problema. Una red maliciosa puede cambiar de servidor o de dominio. CureBox busca eliminar el código peligroso y cerrar el mecanismo que permite reinstalarlo.

Qué cambia CureBox

CureBox:

• Elimina los servicios que aceptaban órdenes con control total;
• Retira los componentes que podían instalar aplicaciones a distancia;
• Conserva la pantalla de inicio conocida por el usuario, pero desactiva su control remoto;
• Cierra el acceso de mantenimiento que estaba expuesto a toda la red;
• Deja una vía de mantenimiento limitada, protegida por un dispositivo físico y por una computadora autorizada.

Cómo comprobamos la solución

Antes de reparar, una prueba controlada activó la puerta vulnerable y provocó más de 20.000 envíos de datos en un minuto. Después de aplicar la corrección, una prueba de cinco minutos registró cero órdenes remotas, cero descargas y cero envíos de prueba.

También hicimos una prueba inofensiva para comprobar que el sistema de medición sí podía detectar tráfico. Eso demuestra que el silencio posterior no se debió a una medición deficiente.

Después de usar CureBox, las puertas de acceso peligrosas dejaron de responder y una computadora desconocida no pudo acceder. Dos reinicios conservaron el resultado. También comprobamos el control remoto, los ajustes, la imagen, el audio y la reproducción de contenido.

La Iniciativa

Desde Macch, invitamos a toda la comunidad de ISPs a donar unidades infectadas a la causa para solucionar de una vez por todas este problema de raíz. Nos comprometemos a hacer todo lo que esté en nuestras manos para añadir más equipos compatibles al software, y distribuirlo de forma gratuita.

Conclusión

El problema de los TV Boxes tiene solución. No hace falta bloquear dispositivos y dañar, en mayor o menor medida, la relación con el cliente.

Los invitamos a descargar CureBox, a probarlo y a contribuir a él, ya sea enviándonos unidades para su análisis o involucrándose en el código.

Creemos que todo problema de seguridad, en lugar de evadirse o parcharse temporalmente, debe tener una solución definitiva.

Y nosotros la tenemos.