Überwachungs-Implantate in weltweit verkauften China-Routern entdeckt

Sicherheitsforscher:innen haben in Routern des chinesischen Herstellers Shenzhen Zhibotong Electronics (ZBT) drei unterschiedliche, backdoor-ähnliche Implantate im Firmware-Code entdeckt. Das Problem: Die Geräte werden weltweit unter vielen Marken verkauft.

Drei versteckte Implantate in ZBT-Firmware

Die Untersuchung der Sicherheitsfirma VulnCheck startete mit einem Zbtlink-AX3000-Router. In dessen Firmware fanden die Forscher:innen ein Implantat, das sie ENDLESSDOORS nannten. Es baut automatisch eine Verbindung zu einem Steuerungsserver auf und kann beliebige Befehle mit Root-Rechten ausführen.

ENDLESSDOORS ist damit ein Fernsteuerungs-System, das direkt in die Router-Firmware eingebettet ist. Es startet beim Booten automatisch und tarnt sich als normaler Linux-Kernel-Prozess mit dem Namen kworker. Der Router kontaktiert regelmäßig einen fest einprogrammierten Server und meldet sich dort an, ohne nennenswerte Authentifizierung oder Verschlüsselung.

Kommandos vom Server werden direkt an eine Shell mit Root-Rechten weitergereicht, zudem kann das Implantat eine interaktive Root-Shell bereitstellen. VulnCheck demonstrierte das, indem die Firma den Steuerungsserver imitierte und so den eigenen Testrouter übernahm. Angreifer:innen, die die Verbindung zum Steuerungsserver kapern, können also vollständige Kontrolle über das Gerät erlangen.

ENDLESSDOORS wurde in Firmware-Versionen für 20 ZBT-Modelle gefunden, darunter Z8102AX, WG3526, WE826-T3-DSIM und mehrere Mobilfunkrouter. Da ZBT für OEM- und ODM-Kund:innen fertigt, wird dieselbe Hardware auch unter anderen Markennamen vertrieben. VulnCheck vergab für das Problem die Kennung CVE-2026-66747 mit einem CVSS-Score von 9,3.

DARKLANTERN und SPEAKINGSTONE in Weißlabel-Routern

Im nächsten Schritt kaufte VulnCheck einen Deep-Orange-Mobilfunkrouter für 88 US-Dollar (rund 80 Euro) bei einem US-Händler auf Amazon. Das Gerät entpuppte sich als umgelabelter ZBT-WE826-T2. Dessen Firmware aus dem Jahr 2019 enthielt zwar kein ENDLESSDOORS, dafür aber zwei weitere Implantate, die VulnCheck DARKLANTERN und SPEAKINGSTONE nannte.

DARKLANTERN arbeitet vergleichsweise simpel. Als Dienst infosrvd öffnet es auf der WAN-Seite den UDP-Port 9992 und nimmt dort Kommandos aus dem Internet ohne Authentifizierung entgegen. Ein fester 19-Byte-Info-Probe reicht, um Modell, Firmware-Version, MAC-Adresse und Uptime abzufragen.

Die wenigen eingebauten „Sicherheitsmechanismen“ ließen sich laut VulnCheck trivial umgehen. Die Prüfsumme für Kommandos verwendet einen statischen, hart kodierten Salt („mqonu.com“), und der interne MAC-Adressfilter lässt sich aushebeln, indem ein MAC-Feld mit lauter Nullen gesendet wird. So können entfernte Angreifer:innen problemlos Pakete fälschen und beliebige Root-Befehle ausführen. Eine Internet-Scan-Aktion ergab 203 frei zugängliche DARKLANTERN-Instanzen in 22 Ländern, verteilt auf 16 Router-Modelle.

SPEAKINGSTONE funktioniert anders und ist aus Sicht der Forscher:innen noch bedenklicher. Statt auf eingehende Verbindungen zu warten, läuft es als Dienst yunmgrd und meldet sich periodisch per UDP-Port 10000 bei einer ZBT-Steuerungsinfrastruktur. Dadurch bleibt das Implantat auch dann nutzbar, wenn der Router hinter NAT oder einer Firewall betrieben wird.

Das System nutzt ein proprietäres Format namens „zbtProtokoll“, um vollständige Geräte-Fingerabdrücke an den entfernten Server zu senden. Laut VulnCheck ermöglicht das Kommando-Protokoll nicht nur beliebige Befehle, sondern auch das Auslesen von PPPoE-Zugangsdaten der WAN-Verbindung, das Umschreiben einer DNS-Umleitungsliste und den Aufbau eines Reverse-SSH-Tunnels.

Weltweite Verbreitung und schwierige Einordnung

Die Forscher:innen entdeckten zudem eine Backup-Domain für den Steuerungsserver im Code der Malware, die noch niemand registriert hatte. VulnCheck registrierte „www.findmyipaddr.com“ und betrieb dort einen Server, der das SPEAKINGSTONE-Protokoll sprechen konnte. In der Folge meldeten sich die infizierten Router bei diesem sogenannten Sinkhole.

Bis zum 21. August hatten sich 392 eindeutige Geräte verbunden, 390 davon in China, überwiegend im Netz von China Mobile. Die meisten Router nutzten dasselbe Modell mit identischer Firmware. VulnCheck wertet das als Hinweis auf einen groß angelegten Carrier-Einsatz und spricht von „inländischer chinesischer Überwachungstechnologie“.

Gleichzeitig betont die Firma, dass nicht jeder ZBT-Router automatisch ein Überwachungsgerät ist. ZBT-Hardware wird weltweit unter vielen unabhängigen Marken verkauft, etwa von Lippert Components, Wave WiFi, OneX in Australien, MoFI Network in Kanada oder Digineo in Deutschland. In manchen untersuchten Firmware-Versionen fehlten die Implantate vollständig.

Das Problem: Durch das OEM-Geschäft ist die Herkunft der Hardware schwer zu erkennen. Dieselben Plattformen tauchen unter Markennamen wie WiFlyer, Deep Orange, Cioswi, CroSkylink oder KuWFi auf. Zudem handelt es sich nicht um klassische Sicherheitslücken, sondern um bewusst integrierte Software für den Fernzugriff. ZBT beschreibt ENDLESSDOORS als technischen After-Sales-Supportmechanismus.

VulnCheck hält dagegen, dass diese Mechanismen die Kontrolle nicht sicher authentifizieren. Wer die Kommunikation kapert, kann die gleichen Rechte ausüben. Weil ZBT-Geräte oft als Weißlabel-Produkte verkauft werden, reicht es nicht, Router mit sichtbarer ZBT-Marke zu meiden.

Wenn Ihr eines der betroffenen Modelle besitzt, deren Liste in den Blogbeiträgen von VulnCheck zu ENDLESSDOORS, DARKLANTERN und SPEAKINGSTONE zu finden ist, bleibt laut den Forscher:innen nur der Austausch. Die Schwachstellen stammen aus der Fabrik, ein Firmware-Update stellt das Vertrauen nicht wieder her. Auch bei anderen günstigen Mobilfunk-, Reise- oder Wohnmobilroutern solltet Ihr bedenken, dass Marke und Firmware-Hersteller oft nicht identisch sind.

Via: https://www.tomshardware.com

Den Beitrag in unserem Forum kommentieren