В роутерах китайской компании ZBT обнаружен скрытый удаленный доступ с правами администратора

Эксперты по кибербезопасности из компании VulnCheck выявили в программном обеспечении маршрутизаторов китайского вендора Shenzhen Zhibotong Electronics (ZBT) три встроенных инструмента скрытого администрирования, позволяющих выполнять произвольный код с наивысшими привилегиями (root). Угроза не ограничивается аппаратами под оригинальным брендом ZBT: предприятие активно выпускает продукцию по схемам OEM и ODM, из-за чего уязвимое оборудование распространяется на мировом рынке под самыми разными торговыми марками.

Первая лазейка, получившая наименование ENDLESSDOORS, активируется автоматически при старте операционной системы роутера. Маскируясь под штатный процесс ядра Linux (kworker), фоновая служба регулярно опрашивает жестко закодированный управляющий сервер и передает полученные инструкции напрямую в системную оболочку с root-правами.

Специалисты VulnCheck на практике подтвердили возможность полного захвата контроля, запустив собственный имитационный сервер, к которому успешно подключились клиентские маршрутизаторы. Бэкдор ENDLESSDOORS зафиксирован как минимум в 20 моделях; уязвимость зарегистрирована под кодом CVE-2026-66747 с критическим рейтингом опасности 9,3 балла по шкале CVSS.

Исследование более ранних версий микропрограмм позволило обнаружить еще два аналогичных скрытых механизма. В частности, в роутере Deep Orange (являющемся перемаркированным ZBT-WE826-T2) аналитики выявили модули DARKLANTERN и SPEAKINGSTONE.

Инструмент DARKLANTERN ожидает входящие команды через сетевой порт UDP 9992. Базовые барьеры авторизации легко преодолеваются, что дает возможность дистанционно отдавать любые команды суперпользователя. Эксперты обнаружили свыше двух сотен активных устройств с данной уязвимостью, представленных в продаже на территории 22 государств.

Механизм SPEAKINGSTONE функционирует иначе: устройство самостоятельно инициирует исходящую сессию с внешней командной инфраструктурой. Такой подход позволяет беспрепятственно обходить межсетевые экраны и NAT. Функционал этого бэкдора включает выполнение системных команд, перехват учетных данных PPPoE, модификацию правил перенаправления DNS и проброс обратных SSH-туннелей.

Исследователям удалось зарегистрировать незанятый резервный домен из конфигурации SPEAKINGSTONE. После развертывания тестового сервера на него стали поступать реальные сетевые запросы: к 21 августа было зарегистрировано 392 уникальных устройства. Почти все они базировались в Китае и функционировали внутри сети оператора China Mobile, что указывает на вероятность скоординированного развертывания.

Впрочем, представители VulnCheck уточняют, что вредоносный код присутствует не во всех прошивках ZBT — программные сборки заметно отличаются. Сама компания ZBT назвала ENDLESSDOORS легитимным средством послепродажного сервиса. Однако аналитики подчеркивают фатальный архитектурный дефект решения: из-за отсутствия криптографической аутентификации любой злоумышленник, перехвативший управляющий канал, получает неограниченный доступ разработчика.

Дополнительный риск создает повсеместный ребрендинг. Продукция ZBT продается под названиями Deep Orange, WiFlyer, KuWFi, Cioswi, CroSkylink и многими другими, из-за чего распознать реального изготовителя по внешнему виду практически невозможно. Специалисты VulnCheck рекомендуют полностью отказаться от использования уязвимых моделей и заменить их, поскольку механизмы несанкционированного доступа интегрированы глубоко в заводское ПО.

Источник: iXBT