Hay Smart TVs que vienen con micrófono integrado o cámara y conexión a la red WiFi con salida a Internet. Si alguien consigue ejecución con altos privilegios en uno, tiene una grabadora encubierta en el living del objetivo, sin que nadie lo sepa.

La CIA fue la primera en demostrarlo. En 2014, un implante llamado Weeping Angel, co-desarrollado con el MI5 británico, convertía Samsung Smart TVs F8000 en exactamente eso: la pantalla se apagaba, el LED frontal se apagaba, pero el procesador seguía activo y el micrófono seguía grabando. Vault 7 lo destapó en marzo de 2017. El método tenía un costo: hacía falta acceso físico al televisor y una vulnerabilidad en la validación de firmas del firmware. Un agente encubierto entraba al living del objetivo y enchufaba un pendrive USB en el televisor. Un instalador en ese USB abusaba del bug de validación para meter el implante como si fuera una app oficial de Samsung.

Nueve años después del leak, la misma capacidad llega sin que nadie pise el living. Entre 2023 y 2026 se publicaron al menos cinco advisories en Smart TVs que dan ejecución privilegiada con acceso al micrófono y la cámara, todos por la red: LG WebOS, Samsung Tizen, Sony BRAVIA.

Cuando ves los advisories uno al lado del otro, el patrón es muy obvio. Mismo Linux corriendo adentro, mismas suposiciones de confianza pobres, mismas funciones de conveniencia que crean superficies de ataque nuevas. Si entendés el patrón, ves los bugs antes que el ecosistema los publique.

ANATOMÍA DE WEEPING ANGEL

Weeping Angel apareció en la primera tanda de Vault 7, “Year Zero”, el 7 de marzo de 2017. WikiLeaks publicó 8.761 documentos de la CIA esa semana. La página de Engineering Notes del implante (page_12353643 del archivo Vault 7) lo describe como una herramienta co-desarrollada entre la CIA y el British Security Service (MI5/BTSS), basada en una herramienta previa del MI5 llamada “Extending”. El co-desarrollo se documentó en lo que los papeles llaman “Joint Development Workshops”. La rama de la CIA atribuida es la “Embedded Devices Branch”.

El objetivo era un modelo específico: Samsung F-Series, con el F8000 nombrado explícitamente. Hardware de 2013 con micrófono integrado, cámara y un segundo micrófono en el control remoto. La función comercial se llamaba “Smart Interaction” y servía para reconocimiento de voz y gestos. Para el atacante, eran tres canales de captura listos para encender.

El instalador se llamaba “Extending” y vivía en un pendrive USB. El operador con acceso físico al televisor enchufaba el USB y dejaba que el firmware Samsung procesara su contenido. Acá estaba el bug: el pipeline de instalación de apps del televisor confiaba en una verificación de firma defectuosa, lo que permitía meter código sin firmar como si viniera del fabricante. El instalador abusaba de ese flujo y tocaba tres componentes de Samsung: el verificador de firmas de aplicaciones (UEP.b), el módulo que inyecta una librería compartida en una app firmada (UEP.f) y el binario empDownload, que quedaba reemplazado por la versión de la CIA. Firmware afectado: 1111, 1112 y 1116. Samsung tapó la vulnerabilidad de validación de firma en la versión 1118, lo que bloqueó el método de instalación por USB.

Una vez instalado, el implante interceptaba el apagado. La pantalla se apagaba. El LED frontal de encendido se apagaba. Visualmente la TV parecía apagada del todo. Pero el procesador seguía activo y el micrófono seguía capturando audio ambiente. Los Engineering Notes señalan la única pista física de detección: el LED azul en la parte trasera de la TV se quedaba encendido, porque el implante no podía apagarlo. Cuando el usuario “encendía” el televisor de nuevo, los logos de Samsung y SmartHub no aparecían, y el arranque era mucho más rápido de lo normal.

El audio capturado se guardaba localmente, con un techo de 700 MB de los 1.6 GB disponibles. La exfiltración tenía tres rutas documentadas: recolección física (un agente volvía y volcaba el audio por USB), un punto de acceso WiFi controlado por la CIA con una laptop corriendo el “Live Listening Tool” para escucha en tiempo real, o WiFi hacia una web disfrazada conectada a infraestructura de la CIA. Esa última ruta era una mejora planeada: el WiFi del televisor venía desactivado por defecto en el modo Fake-Off original.

Persistencia y autodefensa: el implante modificaba iptables y /etc/hosts para bloquear las actualizaciones de Samsung. Los Engineering Notes lo listan como función explícita (“prevent updates”). El bloqueo de actualizaciones era la única defensa de Weeping Angel contra perder el implante: cualquier OTA hacia 1118 lo desinstalaba.

LOS HEREDEROS: ADVISORIES 2023-2026

Nueve años después de Weeping Angel, los Smart TVs vienen recibiendo advisories que dan la misma primitiva final con vectores remotos. Cinco en orden cronológico.

LG Voice — CVE-2023-29047 (publicado en abril de 2023). Un endpoint HTTP en el puerto 3000 del asistente de voz acepta comandos arbitrarios sin autenticación en versiones afectadas de LG webOS Hub. SSD Secure Disclosure reportó el bug. Cualquier atacante en la misma red podía mandar un HTTP POST y ejecutar comandos en el televisor. LG publicó el parche en las actualizaciones de firmware posteriores.

LG WebOS — CVE-2023-6317 / 6318 / 6319 / 6320 (publicado por Bitdefender en abril de 2024). Una cadena de cuatro CVEs en el servicio de configuración remota. Cada CVE cubre un eslabón distinto del ataque: bypass de la autenticación de cuenta, escalada de privilegios desde cuenta común a admin, y dos variantes de inyección de comandos. Modelos afectados: LG WebOS 4.9.7 hasta 7.3.1, paneles entre 2022 y 2024. La explotación remota requiere que el televisor sea alcanzable desde internet (redirección de puerto o IP pública) o que el atacante esté en la misma LAN. LG publicó actualizaciones para los modelos afectados; los televisores sin actualizar siguen vulnerables.

Sony BRAVIA — Photo Sharing Plus (parche en marzo de 2025). La función Photo Sharing Plus, que permite a invitados subir fotos al televisor a través de un servidor web local que el televisor expone, tenía vulnerabilidades de parseo en el manejo de archivos cargados. Sony publicó la actualización de firmware para los modelos afectados como parte del ciclo regular de seguridad.

LG WebOS — TyphoonPWN 2025 / SMR-SEP-2025 (septiembre de 2025). En la edición 2025 del concurso de explotación TyphoonPWN, un equipo demostró un path traversal sin autenticación sobre LG WebOS que termina en root y acceso al micrófono y la cámara. El objetivo de la demostración fue el LG 43UT8050. LG publicó SMR-SEP-2025 como advisory oficial junto con la actualización de firmware correspondiente. Es el caso público más cercano a “Weeping Angel pero por la red”.

Samsung Tizen — RCE a nivel sistema operativo (febrero de 2026). Advisory de Samsung sobre ejecución remota de código a nivel sistema operativo en Tizen. La condición de explotación documentada requiere que el televisor tenga modo desarrollador habilitado y que el equipo atacante esté en la IP autorizada que el televisor tiene configurada para conexiones de desarrollo. Es una superficie limitada, pero existe y se cumple en escenarios de oficina o hotel donde el atacante comparte LAN.

Contexto adicional: Texas AG vs Samsung / LG / Sony / TCL / Hisense (2025-2026). No es un CVE, pero importa para el modelo de amenaza del living. El fiscal general de Texas demandó a cinco fabricantes de TV por Automated Content Recognition (ACR), la función incorporada que escanea lo que ves en pantalla con fines de publicidad y métricas. Es vigilancia integrada por diseño, antes de cualquier bug. La superficie ofensiva del televisor no arranca en el primer exploit, arranca de fábrica.

LO QUE TIENEN EN COMÚN

Cinco patrones unen Weeping Angel con los advisories de 2023-2026. Reconocer estos patrones es la diferencia entre ver advisories aislados y ver una clase de bug que se va a repetir.

El televisor es un servidor Linux vendido como electrodoméstico. Adentro del gabinete corre Linux (en Samsung Tizen, en LG WebOS, en Sony BRAVIA con Android TV). Tiene micrófono, cámara, almacenamiento, conexión a red y servicios escuchando en puertos. La superficie de ataque es la de un servidor. La expectativa del comprador es la de una pantalla. Esa asimetría entre lo que el televisor es y lo que el usuario cree que es vive en cada uno de los advisories. Weeping Angel necesitaba que el agente supiera que adentro había un Linux para meterle un binario. Bitdefender, SSD y los equipos de TyphoonPWN escribieron exploits porque tenían claro que del otro lado del HTTP había una shell esperando.

Servicios expuestos sin modelo de amenaza. Cada función de conveniencia que el fabricante agregó abrió una superficie nueva. En 2014, fue el circuito de instalación de apps por USB: el televisor aceptaba binarios firmados y la firma se podía sortear. En 2023, fue el asistente de voz: un HTTP en el puerto 3000 que escucha comandos. En 2024, fue la configuración remota: una API de emparejamiento con autenticación que se salteaba. En 2025, fue Photo Sharing Plus: un parser de archivos cargados por invitados. Cada función pasó QA funcional pero no pasó nunca por una revisión adversaria del modelo de amenaza.

Confianza pobre en la entrada. El circuito de instalación de Samsung 2014 confiaba en una verificación de firma defectuosa, que controlaba el archivo equivocado o lo controlaba después de actuar sobre él. Los APIs HTTP de LG 2023 confiaban en que la URL no iba a contener .. para subir directorios. La API de Photo Sharing de Sony confiaba en que el formato de imagen iba a venir bien formado. El patrón se repite porque la entrada de cada función se diseñó para el caso normal, no para el caso adversario.

La primitiva final es la misma. Lo que el atacante consigue una vez explotado el bug es siempre el mismo combo: ejecución de código con privilegio suficiente para abrir micrófono, cámara y almacenamiento, más persistencia en el dispositivo. Weeping Angel se metió por USB y consiguió mic + cam + persistencia. SMR-SEP-2025 se metió por HTTP y consiguió root + mic + cam. El premio del bug no cambió en nueve años. Lo que cambió fue cómo llegás ahí. Por eso un mismo equipo de investigación que invierte tiempo en entender la arquitectura del televisor escala sus hallazgos: la primitiva siempre vale, el vector se reemplaza.

Ciclo de actualización de electrodoméstico, no de servidor. Los servidores se parchean en días o semanas porque alguien los administra. Los televisores viven entre tres y diez años en el mismo living sin que nadie revise si están al día. Samsung publicó 1118 en 2014; cuántos F8000 nunca lo recibieron es una pregunta sin respuesta pública. LG publicó SMR-SEP-2025; los televisores que no estén configurados para actualización automática siguen exactamente igual de vulnerables hoy. Los advisories existen, los parches existen, los televisores vulnerables existen también. La cadena rota no es la de auditoría ni la del desarrollo del parche, es la de adopción.

CÓMO SE ENCUENTRAN: METODOLOGÍA A ALTO NIVEL

Antes de los pasos, un dato que baja la barrera de entrada al campo: los firmwares de los Smart TVs están publicados online por los propios fabricantes. Samsung, LG y Sony exponen las actualizaciones de firmware en sus sitios web de soporte para que cualquier usuario pueda descargarlas y reflashear su TV manualmente. Para el investigador esto significa que no hace falta tener el televisor físicamente para empezar a buscar bugs. Bajás el archivo, lo desensamblás, extraés los binarios del rootfs y empezás a leer código. El equipo de Bitdefender que publicó la cadena CVE-2023-6317 no necesitó tener un panel LG sobre el escritorio; necesitó bajar el firmware oficial de la web de LG y trabajar sobre los binarios extraídos. La barrera de entrada baja a “una laptop, paciencia y conocimiento técnico del campo”.

Sobre esa base, cuatro pasos.

1. Mapear la superficie real del dispositivo. Servicios escuchando, puertos abiertos, rutinas que se autoejecutan, componentes que parsean archivos externos. La pregunta guía es: “¿qué procesa entrada que el dueño del televisor no controla?”. El circuito de instalación de Samsung procesaba un USB que cualquiera podía traer. La API de LG procesaba HTTP que cualquiera en la LAN podía mandar. Mapear bien la superficie es escribir la lista completa de “esto recibe entrada de afuera”. Herramientas: binwalk para extraer firmware bajado del sitio web de soporte, lectura del rootfs para ver qué servicios se ejecutan al arrancar el sistema, nmap contra un televisor de prueba en LAN aislada para confirmar los puertos abiertos en la práctica.

2. Cuestionar las suposiciones de confianza del fabricante. Si el televisor “valida” una firma, ¿la validación corre antes o después de parsear? Si la API “requiere” autenticación, ¿hay endpoints que la saltean? Si la actualización por OTA está firmada, ¿la ruta de instalación verifica la firma o sólo el bootloader? Cada vez que el fabricante usa una de estas palabras, hay una respuesta concreta que se puede chequear, y la respuesta concreta es muchas veces “no como vos esperarías”. Herramientas del campo: Ghidra para lectura estática del rootfs, mitmproxy para ver qué pide el televisor al arrancar, intercepción del tráfico OTA para entender el formato real del payload.

3. Mirar dónde otros ya encontraron. Los advisories públicos marcan las zonas calientes del ecosistema. Cuando Bitdefender publica CVE-2023-6317, no está cerrando un capítulo; está marcando un pedazo del código que probablemente tenga más bugs. Cuando hay parche público, comparar el código de antes y después es la pista más fuerte para variant analysis: lo que el fabricante endureció dice qué clase de bug le encontraron, y muchas veces dice también dónde más podría estar. Pwn2Own Toronto y TyphoonPWN publican listas de objetivos con anticipación; esas listas indican qué hardware tiene presupuesto de recompensa y qué clases de bug pagan en ese hardware. Herramientas del campo: lectura de advisories en orden cronológico, lectura de informes técnicos de watchTowr, NCC Group, Trail of Bits y Project Zero sobre dispositivos similares. Para research comunitario por vendor, SamyGo (Samsung) y OpenLGTV (LG) son las dos referencias principales.

4. Validar cada hipótesis en un entorno aislado antes de saltar a hardware o a un objetivo real. La hipótesis “este endpoint no valida la URL” se confirma o se descarta en un emulador o contra un televisor de práctica en una LAN separada del resto de la red. Confirmar la hipótesis es lo que separa la investigación que produce CVE de la que produce ilusión. Herramientas del campo: FirmAE y Firmadyne para correr el rootfs extraído en QEMU, una VLAN aislada para un televisor físico conectado únicamente a tu laptop, captura de tráfico para ver el comportamiento exacto.

El costo de esta metodología es paciencia. Mapear bien la superficie y leer bastantes advisories antes de tirar el primer request es lo que separa la investigación que produce estos CVE de la que produce frustración.

RECURSOS

1. WikiLeaks Vault 7 — Weeping Angel Engineering Notes — fuente primaria del implante.
2. WikiLeaks Vault 7 — publicación oficial — los 8.761 documentos completos.
3. Wikipedia — Vault 7 — contexto histórico, modelos afectados, línea de tiempo.
4. Bitdefender Labs — análisis técnico de la cadena CVE-2023-6317 a 6320.
5. Firmadyne — emulación de firmware embebido en QEMU.
6. SamyGo — comunidad de investigación sobre Samsung TV.
7. OpenLGTV — comunidad de investigación sobre LG TV.

Si te resultó útil esta información, te invito a ver el video relacionado y dejar tu comentario. Tu participación ayuda a que este contenido llegue a más personas y siga creciendo esta comunidad.