В китайских роутерах нашли несколько механизмов скрытого удаленного доступа с правами администратора, устройства выпускает ZBT
Но продаются они под самыми разными брендами, так как ZBT — контрактный производитель
Специалисты компании VulnCheck обнаружили в прошивках роутеров китайского производителя Shenzhen Zhibotong Electronics (ZBT) три встроенных механизма удаленного управления, позволяющих выполнять команды с правами root. Проблема затрагивает не только устройства под брендом ZBT: компания выпускает оборудование для OEM- и ODM-заказчиков, поэтому те же модели продаются по всему миру под разными торговыми марками.
Источник изображения: ZBT
Первый механизм, получивший название ENDLESSDOORS, запускается автоматически при включении роутера, маскируется под системный процесс Linux kworker и регулярно связывается с жестко прописанным управляющим сервером. Полученные команды передаются напрямую в системную оболочку с root-правами.
VulnCheck подтвердила возможность полного перехвата управления, развернув собственный сервер, который успешно принял подключения роутеров. ENDLESSDOORS нашли как минимум в 20 моделях устройств, уязвимость получила идентификатор CVE-2026-66747 и оценку опасности 9,3 балла из 10.
Изучение более старых прошивок выявило еще два аналогичных механизма. В роутере Deep Orange, который оказался переименованной моделью ZBT-WE826-T2, специалисты обнаружили бэкдоры DARKLANTERN и SPEAKINGSTONE.
DARKLANTERN принимает команды через UDP-порт 9992. Предусмотренная защита легко обходится, что позволяет удаленно запускать произвольные команды с правами root. Исследователи обнаружили 203 доступных в продаже устройства с этим бэкдором в 22 странах.
SPEAKINGSTONE работает иначе: роутер сам устанавливает исходящее соединение с управляющей инфраструктурой. Благодаря этому удаленный доступ сохраняется даже за NAT и межсетевым экраном. Такой механизм потенциально позволяет выполнять команды, получать PPPoE-учетные данные, изменять правила DNS-перенаправления и создавать обратный SSH-туннель.
Исследователи также зарегистрировали незанятый резервный домен, который использовался управляющей системой SPEAKINGSTONE. После запуска собственного сервера к нему начали подключаться реальные устройства: к 21 августа было зафиксировано 392 уникальных роутера, причем почти все находились в Китае и работали в сети China Mobile, что может указывать на централизованное развертывание.
При этом VulnCheck подчеркивает, что не каждая прошивка ZBT содержит скрытые механизмы: разные версии программного обеспечения отличаются между собой. Сама ZBT назвала ENDLESSDOORS инструментом послепродажной технической поддержки, однако исследователи считают главной проблемой отсутствие надежной аутентификации — любой, кто перехватит канал управления, потенциально получает те же привилегии, что и разработчики.
Дополнительную сложность создает ребрендинг. Оборудование ZBT продается под марками Deep Orange, WiFlyer, KuWFi, Cioswi, CroSkylink и другими, поэтому определить настоящего производителя по логотипу на корпусе зачастую невозможно. Для затронутых моделей VulnCheck рекомендует полную замену устройства, поскольку механизмы удаленного доступа встроены непосредственно в заводскую прошивку.