Una vulnerabilidad en el modo en el que aplicaciones interactivas funcionan en varios Smart TVs podría permitir a atacantes (sin demasiados conocimientos técnicos) vulnerar cientos de dispositivos al mismo tiempo, según informa un grupo de investigadores de la Universidad de Columbia en un trabajo reciente.

"La complejidad técnica y el presupuesto requeridos son bajos, haciendo que este ataque sea práctico y realista", escribieron los investigadores. "En un área de alta densidad urbana, un atacante podría vulnerar 20.000 dispositivos con un solo ataque y un presupuesto de $450 dólares".

En un análisis detallado de la amenaza, la revista Forbes afirma que la transmisión "falsa" podría robar credenciales de acceso para sitios tales como Facebook y Yelp, vulnerar dispositivos como impresoras, e inclusive capturar tráfico de redes Wi-Fi no protegidas.

"La única manera en que las fuerzas de la ley pueden llegar a encontrar una transmisión 'falsa' es enviando múltiples antenas montadas en vehículos para lograr triangular la señal. Un atacante podría fugarse mucho antes que los camiones estuvieran en la calle" afirma Forbes.

Slashgear reporta que la vulnerabilidad depende del standard HbbTV, utilizado por anunciantes para llegar a usuarios. Slashgear dice que este standard ya está diseminado por Europa, pero ha sido agregado recientemente al NTSC disponible en los Smart TV de Norteamérica. "HbbTV le permite a los anunciantes llegar a los usuarios con motivos publicitarios (como por ejemplo recibir cupones de descuento en supermercados) mientras se ve un programa de cocina", afirma el sitio.

"Nuestros análisis de las especificaciones, y de sistemas reales que las implementan, muestran que los sistemas de transmisión y de banda ancha están combinados de modo inseguro" escribieron los investigadores.

El trabajo de la Universidad de Columbia se refiere específicamente al llamado contenido "de botón rojo", en el cual aplicaciones son ejecutadas en un Smart TV al presionar un botón rojo durante algún programa televisivo. Este tipo de contenidos son mostrados en la pantalla con una invitación a presionar dicho botón, pero los investigadores escribieron que existen aplicaciones que podrían ejecutarse invisiblemente sin que el usuario lo note. Presentaron los resultados de su investigación al grupo técnico de HbbTV en enero, pero fueron descartados por insignificantes.

Ellos afirman que el ataque es tanto posible como practicable, con atacantes interceptando y re-transmitiendo un canal popular, luego de haber incluido un script malicioso en el mismo.

"La mejor manera de hacerlo es llevando adelante una forma de ataque Man In The Middle, en el que el atacante modifica un canal de TV popular de manera transparente como para poder incluir un payload malicioso" escriben. Según ellos, hay maneras por las cuales los fabricantes de Smart TVs podrían bloquear este tipo de ataques.

Slashgear dice: "El problema es basicamente que una aplicación para Smart TV deja de tener un punto de origen al ser utilizada, 'suelta en el viento' si se quiere. Al ser utilizada, accede tanto a nuestra red como en al contenido que queremos, comprometiendo a ambos puntos".

Traducción del post de Rob Waugh en We Live Security.