Die chinesische Firma Shenzhen Zhibotong Electronics Co., Ltd., kurz ZBT, stellt unter anderem Internet-Router her. Viele Modelle setzen auf Mobilfunktechniken wie LTE oder 5G. Andere Anbieter, selbst in Deutschland aktive, verkaufen ZBT-Router mit eigenem Markenaufkleber als sogenannte OEM-Produkte. Und darin haben IT-Forscher nun Backdoor-Funktionen aufgespürt.
Das berichten IT-Sicherheitsforscher von VulnCheck in einem Blogbeitrag. Sie haben einen ZBT-Router untersucht, den sie in den USA auf Amazon erstanden haben, und sind dabei auf hunderte Router vorrangig aus China gestoßen, die auf eine vergessene Domain verbinden, die in der Firmware der Geräte hinterlegt ist. Die ZBT-Hardware ist jedoch global im Einsatz, etwa in Australien, Deutschland, Kanada, den Philippinen, Russland und den Vereinigten Staaten. Sie kommt oftmals unter anderen Namen daher, das konkret untersuchte Modell kam von „Deep Orange“, dahinter verbarg sich das ZBT-WE826-T2-Modell.
Firmwarezugriff durch Sicherheitslücke
Die IT-Forscher haben eine Telnet-Sicherheitslücke im Router missbraucht, um dadurch root-Zugriff zu erlangen und die Firmware zu extrahieren. Die stammt aus dem Jahr 2019. Darin haben sie zwei Implantate gefunden, die sie „Speakingstone“ und „Darklantern“ nennen. Speakingstone verbindet sich auf die Cloud-Infrastruktur von ZBT und nimmt von dort Anweisungen entgegen. Darklantern hingegen lauscht als Backdoor im WAN auf eingehende Verbindungen und führt Befehle aus, ohne vorherige Authentifizierung. Beide kommunizieren über UDP und werden von einem Verbindungs-Watchdog „inetdetect“ der Firmware gestartet.
