|
28.08.2026 12:39 Uhr |
Die chinesische Firma Shenzhen Zhibotong Electronics Co., Ltd., kurz ZBT, stellt unter anderem Internet-Router her. Viele Modelle setzen auf Mobilfunktechniken wie LTE oder 5G. Andere Anbieter, selbst in Deutschland aktive, verkaufen ZBT-Router mit eigenem Markenaufkleber als sogenannte OEM-Produkte. Und darin haben IT-Forscher nun Backdoor-Funktionen aufgespürt.
Das berichten IT-Sicherheitsforscher von VulnCheck in einem Blogbeitrag. Sie haben einen ZBT-Router untersucht, den sie in den USA auf Amazon erstanden haben, und sind dabei auf hunderte Router vorrangig aus China gestoßen, die auf eine vergessene Domain verbinden, die in der Firmware der Geräte hinterlegt ist. Die ZBT-Hardware ist jedoch global im Einsatz, etwa in Australien, Deutschland, Kanada, den Philippinen, Russland und den Vereinigten Staaten. Sie kommt oftmals unter anderen Namen daher, das konkret untersuchte Modell kam von „Deep Orange“, dahinter verbarg sich das ZBT-WE826-T2-Modell.
Die IT-Forscher haben eine Telnet-Sicherheitslücke im Router missbraucht, um dadurch root-Zugriff zu erlangen und die Firmware zu extrahieren. Die stammt aus dem Jahr 2019. Darin haben sie zwei Implantate gefunden, die sie „Speakingstone“ und „Darklantern“ nennen. Speakingstone verbindet sich auf die Cloud-Infrastruktur von ZBT und nimmt von dort Anweisungen entgegen. Darklantern hingegen lauscht als Backdoor im WAN auf eingehende Verbindungen und führt Befehle aus, ohne vorherige Authentifizierung. Beide kommunizieren über UDP und werden von einem Verbindungs-Watchdog „inetdetect“ der Firmware gestartet.
Darklantern heißt als Prozess „infosrvd“ und lauscht auf UDP-Port 9992. Die Router-Firewall erlaubt explizit externe Verbindungen darauf. Der Prozess kennt ein Info-Paket, auf das er Informationen wie Firmware-Version, MAC-Adresse, Uptime und weitere Informationen auf UDP-Port 8897 zurückschickt. Zudem versteht Darklantern ein Befehlspaket, das den übermittelten Aufruf direkt an das Betriebssystem durchreicht – mittels eines Semikolons können bösartige Befehle aus dem initial vorgegebenen Pfad ausbrechen. Ob ein Befehl akzeptiert wird, bestimmt ein Token und die übermittelte MAC-Adresse. Der MAC-Filter ist jedoch Makulatur. Einerseits übergibt das Info-Paket Interessierten die MAC frei Haus. Andererseits prüft der Code die MAC nicht, wenn sie schlicht auf 00:00:00:00:00:00 gesetzt wird.
Bei einem Scan über drei Tage Mitte August haben 203 Geräte im Internet auf die Pakete reagiert. Am meisten Geräte kamen aus den USA, gefolgt von Russland, Taiwan und China und der Ukraine. Die geben allesamt Angreifern einfachen Zugang zu einer root-Shell. Die Darklantern-Backdoor haben die IT-Sicherheitsforscher noch in diversen weiteren ZBT-Routern aufgespürt.
Die Speakingstone getaufte Backdoor initiiert von sich aus Verbindungen und läuft als Prozess „yunmgrd“. Die Router mit diesem Implantat verbinden sich in regelmäßigen Abständen zur Domain „ac-link[.]com“, die zu ZBT gehört, auf UDP-Port 10000. Die Anfrage enthält ebenfalls das Gerätemodell, die Firmware-Version, MAC-Adresse, SSID des WLANs, LAN-IP, Uptime und mehr. Antworten können Aktionen ausführen, wie beliebige Befehle ausführen, WAN-PPPoE-Zugangsdaten übermitteln, eine DNS-Hijack-Liste schreiben und zurückliefern, einen Reverse-SSH-Tunnel auf- oder abbauen, oder die Command-and-Control-Adresse aktualisieren.
ZBT hat VulnCheck gegenüber angegeben, dass das ein technisches Support-Tool für den Aftersales-Service sein soll. DNS-Hijacking und Abgreifen von ISP-Zugangsdaten gehört jedoch eher nicht zum Standard-Support, bekräftigen die IT-Forscher. Sie sehen darin ein Überwachungswerkzeug mit root-Zugang.
Speakingstone hat noch eine weitere Command-and-Control-Domain etwas verschleiert im Sourcecode. Die war nicht mehr registriert, sodass VulnCheck sie nun registriert hat, „www.findmyipaddr[.]com“. Seit dem vergangenen Freitag, 21. August 2026, haben sich bereits 392 Geräte dort gemeldet. 390 davon stammten direkt aus China. Davon handelt es sich bei 363 um ein spezielles Modell, das VulnCheck als chinesische Überwachungstechnik verortet, da es keine normal kaufbaren Router sind.
Diese beiden Backdoors finden sich auch in den Geräten, die international etwa in den USA auf Amazon verkauft werden. In anderen Ländern finden sich umgelabelte Router: In Australien gibt es unter der Marke OneX ZBT-Router, in Kanada unter „MOFI Networks“. In Deutschland hat VulnCheck die Marken „Digineo“ und „Allnet“ ausgemacht, die ZBT-Router als OEM-Modelle nutzen.
VulnCheck hat in unterschiedlichen Firmware-Ständen und ZBT-Routern weitere Backdoors gefunden, nach 2019 kam eine von den IT-Forschern „EndlessDoors“ genannte Backdoor hinzu. Die behandeln sie in einem weiteren Blogbeitrag. Die versteckt sich mit dem Namen „kworker“ als Userland-Prozess mit root-Rechten und imitiert dadurch echte kworker-Prozesse. Dahinter verbirgt sich „rctl“, oder als Langform Remote Control Linux, ein Command-and-Control-System, das bei ZBT auf eine weitere Domain respektive IP verbindet. Die findet sich auf mehreren Modellen, die die IT-Forscher auflisten, ebenso wie Indicators of Compromise (IOC), also Hinweisen auf befallene Systeme, etwa auf welche IP-Adressen die Router verbinden. ZBTlink hat als Reaktion auf „EndlessDoors“ angekündigt, den Verkauf betroffener Router auszusetzen und die betroffene Software offline zu nehmen, während an Updates gearbeitet werde.
Derartige Geräte sollten Nutzer besser außer Betrieb nehmen, zumindest, bis Updates verfügbar sind, die keine Backdoors mehr enthalten. VulnCheck ordnet ein, dass diese Router eingebaute Überwachungsmöglichkeiten enthalten, in China hergestellt sind und an ahnungslose Verbraucher verkauft würden. Angreifer können die Schwachstellen und Backdoors darin einfach ausnutzen. In ihrer Analyse listen die IT-Forscher die diversen bekannt betroffenen ZBT-Modelle auf, ebenso wie Binary-Hashes, Domains sowie hilfreiche YARA-Regeln und gar ein Python-Skript zum Scannen des Netzwerks, um betroffene Router in der eigenen Infrastruktur zu erkennen.
Backdoors in Routern sind sonst von größerer Netzwerkhardware bekannt. Anfang 2025 fielen etwa Juniper-Router durch Backdoors auf, die auf Magic Packets reagieren.
(dmk)