Backdoor w routerach Zbtlink daje zdalny dostęp root

Firma VulnCheck przeanalizowała firmware ponad 20 modeli routerów produkowanych przez Shenzhen Zhibotong Electronics i sprzedawanych pod markami Zbtlink i Wiflyer. Badacze opisali wykryty komponent jako backdoor o nazwie „Endlessdoors”.

Złośliwy kod jest preinstalowany na etapie produkcji i uruchamia się jako proces systemowy oznaczony jako kworker. Co 35 sekund backdoor nawiązuje niezabezpieczone połączenie TCP na porcie 7000 do serwerów command-and-control. W analizie wskazano domeny zbtctl.epplink.net, online-string.com i rbdg4nzqadui.wikaba.com oraz adresy IP 47.100.190.96, 47.107.224.89, 45.32.81.152 i 43.248.136.125.

Dostęp do docelowych punktów końcowych lub przejęcie komunikacji pozwala na uzyskanie zdalnej kontroli z uprawnieniami root nad routerem. Takie uprawnienia umożliwiają uruchamianie poleceń, instalowanie oprogramowania i monitorowanie ruchu sieciowego. Urządzenia podłączone do sieci lokalnej, w tym komputery, serwery i urządzenia IoT, mogą stać się dostępne dla operatora backdoora.

Wśród zidentyfikowanych modeli wymieniono CPE2801, WE1326, WG3526 i Z8102AX-2DSIM. VulnCheck szacuje, że liczba zainstalowanych egzemplarzy przekracza 100 tys. na całym świecie, głównie w domach i małych firmach. Pełna lista modeli może być dłuższa ze względu na stosowanie wspólnych części OEM/ODM przez różnych producentów.

Producent nie udostępnił poprawki. VulnCheck wskazuje, że możliwe środki zaradcze obejmują fizyczną wymianę urządzeń, odizolowanie ich od sieci lub instalację alternatywnego, otwartoźródłowego firmware’u, co zwykle powoduje utratę gwarancji.

Shenzhen Zhibotong Electronics zaprzeczyła, by backdoory służyły do inwigilacji; firma poinformowała, że mechanizmy miały być wykorzystywane do obsługi posprzedażowej. Według raportu producent nie informował wcześniej klientów o istnieniu takiego mechanizmu ani o zasadach jego działania. VulnCheck udostępnił szczegóły techniczne działania backdoora w swoim raporcie.

Artykuł 7 chińskiej ustawy o wywiadzie z 2017 r. nakłada na organizacje i obywateli obowiązek współpracy z organami wywiadowczymi. W kilku krajach regulatorzy rozważają ograniczenia dotyczące importu lub użytkowania niektórych chińskich urządzeń sieciowych.

Operatorzy sieci i administratorzy otrzymali od VulnCheck informacje techniczne, które mogą posłużyć do podjęcia decyzji o izolacji, wymianie sprzętu lub wprowadzeniu dodatkowych środków ochronnych.