В китайских роутерах ZBT обнаружены уязвимости для удаленного доступа администраторов

Однако они продаются под множеством различных брендов, так как ZBT является контрактным производителем

Эксперты компании VulnCheck выявили в прошивках роутеров китайской фирмы Shenzhen Zhibotong Electronics (ZBT) три встроенных механизма удаленного управления, которые позволяют выполнять команды с правами root. Проблема затрагивает не только устройства под маркой ZBT: компания производит оборудование для OEM- и ODM-заказчиков, поэтому одни и те же модели доступны по всему миру под различными торговыми марками.

Первый механизм, получивший название ENDLESSDOORS, автоматически активируется при включении роутера, маскируется под системный процесс Linux kworker и регулярно соединяется с жестко прописанным управляющим сервером. Полученные команды передаются непосредственно в системную оболочку с правами root.

VulnCheck подтвердила возможность полного перехвата управления, развернув собственный сервер, который успешно принял подключения от роутеров. ENDLESSDOORS были обнаружены как минимум в 20 моделях устройств, уязвимость получила идентификатор CVE-2026-66747 и оценку опасности 9,3 балла из 10.

Анализ более старых прошивок выявил еще два аналогичных механизма. В роутере Deep Orange, который оказался переименованной моделью ZBT-WE826-T2, специалисты нашли бэкдоры DARKLANTERN и SPEAKINGSTONE.

DARKLANTERN принимает команды через UDP-порт 9992. Предусмотренная защита легко обходит, что позволяет удаленно выполнять произвольные команды с правами root. Исследователи обнаружили 203 устройства, доступных для продажи с этим бэкдором в 22 странах.

SPEAKINGSTONE функционирует иначе: роутер самостоятельно устанавливает исходящее соединение с управляющей инфраструктурой. Это позволяет сохранить удаленный доступ даже за NAT и межсетевым экраном. Такой механизм потенциально способен выполнять команды, получать PPPoE-учетные данные, изменять правила DNS-перенаправления и создавать обратный SSH-туннель.

Исследователи также зарегистрировали незанятый резервный домен, который использовался управляющей системой SPEAKINGSTONE. После запуска собственного сервера к нему начали подключаться реальные устройства: к 21 августа было зафиксировано 392 уникальных роутера, почти все из которых находились в Китае и работали в сети China Mobile, что может указывать на централизованное развертывание.

При этом VulnCheck подчеркивает, что не каждая прошивка ZBT содержит скрытые механизмы: различные версии программного обеспечения отличаются друг от друга. Сама ZBT охарактеризовала ENDLESSDOORS как инструмент послепродажной технической поддержки, однако исследователи считают главной проблемой отсутствие надежной аутентификации — любой, кто перехватит канал управления, потенциально получает те же привилегии, что и разработчики.

Дополнительные сложности создает ребрендинг. Оборудование ZBT продается под марками Deep Orange, WiFlyer, KuWFi, Cioswi, CroSkylink и другими, что делает определение настоящего производителя по логотипу на корпусе зачастую невозможным. Для затронутых моделей VulnCheck рекомендует полную замену устройства, так как механизмы удаленного доступа встроены непосредственно в заводскую прошивку.