Roteadores fabricados pela Shenzhen Zhibotong Electronics (ZBT) e vendidos como produtos white-label em todo o mundo contêm múltiplas backdoors embutidas, algumas com privilégios de root, de acordo com pesquisa divulgada por Jacob Baines, CTO da VulnCheck. A empresa, com produção anual de 3,57 milhões de unidades segundo seu marketing na Alibaba.com, exporta para mais de 50 países, incluindo Filipinas, Índia, Canadá, Austrália, Alemanha, Rússia e Estados Unidos.
Baines descobriu inicialmente o “EndlessDoors”, uma ferramenta de controle remoto Linux de código aberto com uma década de existência, disfarçada como thread do kernel para processamento comum do sistema. O backdoor se conectava a um domínio estranho ao ser ligado, estabelecendo comunicações de comando e controle (C2) com privilégios de root. O EndlessDoors afeta dezenas de modelos de roteadores, incluindo os vendidos pela Zbtlink, marca da ZBT.
Outras backdoors e impacto
Ao adquirir um roteador da DeepOrange, outra empresa que revende tecnologia ZBT, Baines encontrou duas backdoors adicionais: “SpeakingStone” e “DarkLantern”, aparentemente versões anteriores do EndlessDoors, implementadas por volta de 2019. O SpeakingStone inicia conexões com seu domínio de controle, enviando dados do sistema, incluindo coordenadas GPS, e aceita comandos arbitrários, como a capacidade de realizar sequestro de DNS. O DarkLantern é um listener que permite conexões iniciadas por terceiros.
A VulnCheck detectou, em um período de três dias, 203 instâncias do DarkLantern expostas online, sendo 103 nos EUA. O SpeakingStone teve 392 conexões registradas, quase exclusivamente na China. O EndlessDoors, no entanto, afeta todas as imagens de firmware atuais da ZBT, podendo infectar centenas de milhares de dispositivos, segundo estimativa de Baines.
Defesas e recomendações
A ZBT respondeu ao contato de Baines fechando temporariamente as vendas na Amazon e em seu site, lançando um firmware que remove o implante, mas o pesquisador comprou um dispositivo da marca WiFlyer na semana passada que veio sem o patch. O especialista recomenda que as organizações identifiquem os endereços MAC alocados à ZBT e substituam os roteadores comprometidos. “A única coisa que eu faria é desligá-los e substituí-los”, afirmou Baines, sugerindo optar por marcas estabelecidas como Cisco e Ubiquiti.
