El bash oculto en una camiseta de Uniqlo

Un script bash escondido en una camiseta suena a broma hasta que empiezas a seguir las pistas. La historia no va de una simple impresión rara en una prenda, sino de un caso técnico que mezcla ofuscación, distribución física y una pregunta incómoda: ¿qué pasa cuando el código deja de vivir solo en repositorios, contenedores o paquetes y aparece en un producto que compras en una tienda?

Ese es el valor de este caso. Te obliga a mirar la supply chain con más amplitud. No solo importa lo que instalas en tu servidor o en tu laptop; también importa cómo se mueve la información cuando pasa por diseño, impresión, empaque, logística y venta al consumidor. Y sí, también sirve para hablar de esteganografía, porque esconder algo a plena vista sigue siendo una de las técnicas más efectivas cuando nadie espera encontrar código en una camiseta.

Qué pasó realmente con la camiseta

La pieza original que disparó toda esta conversación fue una camiseta de Uniqlo con un patrón impreso que, al analizarse con más cuidado, revelaba un script bash ofuscado. No era un simple dibujo decorativo. Había una secuencia de texto y símbolos que, vista como arte, parecía ruido; vista como código, tenía estructura suficiente para levantar sospechas y empezar a decodificar.

Lo interesante no es solo el hallazgo, sino el contexto. El script no estaba en un archivo descargado desde un repositorio ni en un binario empaquetado. Estaba impreso en una prenda física vendida al público. Eso rompe la expectativa clásica de seguridad: normalmente buscas secretos en sistemas, no en algodón. Pero el valor técnico aparece justo ahí, en el punto donde la distribución física se convierte en vehículo de información.

Si quieres revisar el análisis original, la fuente es esta: blog de Tris Sherliker. También vale la pena cruzarlo con la documentación oficial de Bash sobre expansión de parámetros y evaluación de comandos, porque ahí está gran parte del truco: GNU Bash Reference Manual.

Por qué no era solo arte gráfico

Cuando ves una camiseta con texto repetido, letras deformadas o bloques de símbolos, tu cerebro suele clasificarlo como diseño. Esa es precisamente la ventaja del ocultamiento: aprovechar un canal donde el contenido raro no activa alarmas. En este caso, el patrón tenía suficiente densidad textual como para parecer una composición estética, pero al mismo tiempo contenía una secuencia que podía interpretarse como shell script.

La idea de un script “autoejecutable” o self-evaluating no es nueva en bash. Existen técnicas donde el propio script se reconstruye a partir de transformaciones sobre sí mismo o sobre cadenas embebidas. Lo raro aquí es el soporte: una camiseta vendida en retail. Eso hace que el hallazgo sea interesante para seguridad, pero también para logística y control de calidad de productos impresos.

Cómo se oculta código en un objeto físico

La esteganografía no consiste solo en esconder mensajes dentro de imágenes digitales. También puedes esconder información en tipografías, patrones, repeticiones, colores, microvariaciones y hasta en la disposición espacial de elementos impresos. En una camiseta, el límite entre decoración y contenido legible es más difuso de lo que parece.

En este caso, el mecanismo no dependía de una capa de cifrado sofisticada, sino de una combinación de ofuscación y diseño visual. Eso es importante: ofuscar no siempre significa cifrar. A veces significa hacer que la lectura humana sea incómoda mientras la máquina, con suficiente contexto, puede reconstruir el texto original.

Esteganografía visual vs. ofuscación de código

Conviene separar dos conceptos que suelen mezclarse:

• Esteganografía: esconder la existencia del mensaje.
• Ofuscación: dificultar la comprensión del mensaje, aunque siga siendo visible.

La camiseta juega en la frontera entre ambas. A simple vista, parece una imagen. Si sabes dónde mirar, notas que hay texto. Si lo extraes, descubres que ese texto no está escrito para que lo leas como humano, sino para que un intérprete bash lo procese tras varias transformaciones.

Esto es relevante porque muchas revisiones de seguridad se quedan en una sola capa. Si el diseño gráfico pasa por revisión de marca, pero nadie hace OCR, nadie compara patrones o nadie intenta reconstruir texto a partir de la impresión, el contenido escondido puede pasar sin problemas.

Técnicas que podrían usarse para esconder texto

No hace falta asumir un mecanismo único para entender el problema. En productos físicos, el ocultamiento puede apoyarse en varias técnicas combinadas:

1. Microtexto o texto muy pequeño que solo se detecta con zoom.
2. Repetición de caracteres para que el patrón parezca decorativo.
3. Variaciones de color o contraste para separar capas de información.
4. Distribución del texto en bloques que no parecen líneas de código.
5. Uso de caracteres especiales para romper la lectura visual normal.

En la práctica, lo que importa es la carga útil. Si el patrón termina expresando un comando o una secuencia interpretable, el medio físico deja de ser una simple superficie impresa y se convierte en un contenedor de información.

Qué tiene de técnico un bash ofuscado

Bash permite muchas cosas que, combinadas, vuelven posible escribir scripts difíciles de leer. Variables con nombres poco descriptivos, expansiones anidadas, sustitución de comandos, concatenación dinámica y uso de eval pueden convertir un script corto en una pieza casi ilegible. Eso no lo hace malicioso por sí solo, pero sí complica auditoría y análisis.

En el caso de esta camiseta, la gracia está en que el script parecía construido para ser descubierto. No era ofuscación al nivel de malware avanzado, pero sí suficiente para que un lector casual no viera nada útil. Si quieres entender por qué eso importa, piensa en un pipeline de seguridad: cuanto más cuesta leer una pieza, más fácil es que pase desapercibida en una revisión rápida.

Piezas típicas de ofuscación en shell

Al analizar bash ofuscado, normalmente buscas estas señales:

• Uso de eval para ejecutar texto como código.
• Variables que almacenan fragmentos de comandos.
• Expansiones como ${var:offset:length} para reconstruir cadenas.
• Sustituciones $(...) encadenadas.
• Codificación previa en base64, hex o escapes.

Un ejemplo simple, solo para ilustrar el patrón, sería algo así:

x='echo'; y='hello'; eval "$x $y"

Eso no es malware ni nada parecido, pero muestra la idea: el código real no está completamente visible hasta que el intérprete resuelve variables y evalúa la cadena final. En una camiseta, ese tipo de estructura puede camuflarse dentro de una composición visual que no parece código hasta que alguien decide inspeccionarla de verdad.

Cómo se detecta que hay algo raro

Normalmente el proceso empieza con una sospecha visual. Alguien nota que el patrón tiene demasiada estructura, demasiado texto repetido o una distribución que no parece aleatoria. A partir de ahí, puedes seguir un flujo bastante estándar:

1. Tomar una foto en alta resolución.
2. Aumentar contraste y nitidez.
3. Aplicar OCR para extraer texto.
4. Revisar si hay secuencias repetidas o delimitadores.
5. Probar si el texto extraído se comporta como shell script.
6. Reproducir la lógica en un entorno aislado.

Ese flujo no requiere herramientas exóticas. Con OCR, edición básica y una terminal ya puedes avanzar bastante. La parte crítica es no ejecutar nada en tu sistema principal hasta entender qué hace.

Qué nos dice esto sobre supply chain

La supply chain security suele asociarse con dependencias de software, paquetes comprometidos, firmas falsas o actualizaciones maliciosas. Pero el caso de la camiseta amplía el mapa. Si una pieza de contenido puede viajar desde diseño hasta una tienda física sin levantar alertas, entonces la cadena de suministro también tiene una dimensión física y editorial.

Esto no significa que una camiseta esconda una amenaza real por defecto. Lo que sí significa es que el canal de distribución importa. Un mensaje, una clave, un payload o incluso una simple broma técnica pueden entrar al mundo real a través de procesos que no fueron diseñados para inspeccionar código. Y ahí aparece el punto de contacto entre seguridad, producción y control de calidad.

Riesgos concretos que abre un caso así

No todo riesgo es igual. En un caso como este, los riesgos más claros son:

• Introducir instrucciones ocultas en productos masivos.
• Usar objetos físicos como canal de exfiltración o comunicación.
• Saltarse revisiones automáticas centradas solo en archivos digitales.
• Normalizar la presencia de texto técnico en artefactos de consumo.

Ninguno de estos escenarios implica automáticamente un incidente grave. Pero todos demuestran que la superficie de ataque no termina en el repositorio. Si tú trabajas en seguridad, packaging, QA o branding, necesitas pensar en cómo se aprueba contenido impreso y quién valida que no haya texto ejecutable o sensible escondido en el diseño.

Lo que cambia para marcas y fabricantes

Para una marca, el aprendizaje es claro: no basta con revisar que el diseño se vea bien. También hay que revisar qué dice realmente, cómo se puede extraer y si hay contenido que, una vez procesado por OCR o por un lector humano con paciencia, revela algo no previsto.

En un flujo serio de revisión, podrías añadir controles como estos:

• Escaneo OCR sobre artes finales.
• Revisión manual de patrones con texto repetido.
• Validación de assets por un equipo distinto al de diseño.
• Registro de versiones y aprobación formal de arte.
• Muestreo físico antes de producción masiva.

Eso no elimina el riesgo, pero reduce bastante la probabilidad de que algo raro llegue al consumidor sin que nadie lo note.

Cómo podrías analizar algo parecido tú mismo

Si te encuentras con un objeto físico sospechoso, el enfoque debe ser metódico. No hace falta ponerse dramático ni asumir intenciones ocultas de entrada. Lo útil es tratarlo como un artefacto forense: observar, extraer, comparar y probar en un entorno seguro.

Aquí conviene mantener una disciplina básica. No se trata de “ver qué pasa” en tu máquina personal. Se trata de aislar el análisis y documentar cada paso. Eso aplica igual si el objeto es una camiseta, un folleto, una etiqueta o una caja con impresión extraña.

Flujo de análisis recomendado

1. Documenta el objeto: toma fotos desde varios ángulos y con buena luz.
2. Extrae texto: usa OCR con diferentes niveles de contraste.
3. Normaliza el contenido: quita saltos de línea extraños y caracteres invisibles.
4. Busca patrones: repeticiones, delimitadores, fragmentos que parezcan comandos.
5. Prueba la sintaxis: revisa si el contenido se parece a bash, Python u otro lenguaje.
6. Aísla la ejecución: usa una VM o contenedor sin acceso a datos sensibles.
7. Compara resultados: contrasta con fuentes confiables y documentación oficial.

Si el texto parece shell script, recuerda que bash tiene comportamiento específico con comillas, expansiones y sustituciones. La referencia oficial sigue siendo la mejor base para entender qué puede hacer realmente una cadena aparentemente inocente.

Herramientas útiles para este tipo de revisión

No necesitas un laboratorio enorme para empezar. Algunas herramientas comunes bastan para una primera pasada:

• OCR: Tesseract.
• Edición de imagen: GIMP o herramientas similares.
• Terminal: bash, sed, awk, grep.
• Entorno aislado: una VM o contenedor sin privilegios.

La clave no es la herramienta, sino el método. Si el contenido fue diseñado para pasar desapercibido, tu trabajo es revertir esa invisibilidad sin introducir riesgos adicionales.

Tabla resumen

Este caso es útil porque junta varias disciplinas que a veces se trabajan por separado. Seguridad de software, diseño gráfico, control de calidad y logística terminan cruzándose en un mismo objeto. Y cuando eso pasa, la revisión ya no puede limitarse a “se ve bien”.

Si tú trabajas en producto, este ejemplo te sirve para una pregunta simple: ¿qué otras cosas podrían estar escondidas en lo que vendes? No hace falta pensar solo en malware. También pueden ser mensajes, claves, referencias internas o instrucciones que nadie quiso que el público viera. El punto es que el canal existe.

Qué deberías llevarte de este caso

La primera lección es que el código no siempre vive donde esperas. Puede aparecer en una imagen, un PDF, una etiqueta o una camiseta. La segunda es que bash sigue siendo una superficie interesante para ofuscación porque su sintaxis permite construir y ejecutar texto dinámicamente con relativa facilidad.

La tercera lección es más práctica: si tu proceso de validación solo mira el archivo fuente y no el artefacto final, te estás perdiendo una capa entera de revisión. En productos físicos, el arte final es el producto. Ahí es donde debes buscar, no solo en el repositorio del diseño.

Y la cuarta lección es que la detección no requiere magia. Requiere curiosidad, método y herramientas básicas. Con una foto decente, OCR y paciencia puedes descubrir bastante. Lo difícil no es analizar; lo difícil es pensar que vale la pena mirar.