Дослідники з кібербезпеки VulnCheck знайшли одразу кілька бекдорів у прошивках роутерів китайської Shenzhen Zhibotong Electronics, або ZBT. Компанія виробляє пристрої, які потім продаються по всьому світу під іншими брендами. Тож власник такого роутера може навіть не знати, хто насправді його виготовив. Один із заражених пристроїв вони зафіксували й в Україні.
Дослідники з кібербезпеки VulnCheck знайшли одразу кілька бекдорів у прошивках роутерів китайської Shenzhen Zhibotong Electronics, або ZBT. Компанія виробляє пристрої, які потім продаються по всьому світу під іншими брендами. Тож власник такого роутера може навіть не знати, хто насправді його виготовив. Один із заражених пристроїв вони зафіксували й в Україні.
Про це розповіли дослідники з VulnCheck.
Першим дослідники знайшли бекдор ENDLESSDOORS. Він автоматично запускається разом із роутером, маскується під звичайний системний процес і сам встановлює з'єднання із сервером керування.
Після цього оператор сервера може виконувати на роутері команди з root-правами — тобто практично з максимальним рівнем доступу до системи. За словами VulnCheck, це потенційно дозволяє стежити за трафіком, викрадати облікові дані або використовувати роутер як точку входу до інших пристроїв у мережі.
А потім CTO VulnCheck Джейкоб Бейнс замовив на Amazon інший роутер — уже під брендом Deep Orange. Виявилося, що це фактично модель ZBT, тільки з іншою назвою. ENDLESSDOORS у старій прошивці не було, зате всередині знайшли ще два бекдори — DARKLANTERN і SPEAKINGSTONE. VulnCheck вважає їх ранніми версіями того самого механізму віддаленого доступу.
DARKLANTERN дозволяє надсилати роутеру команди через інтернет. Він приймає їх через UDP-порт 9992, який файрвол роутера не блокує. Бекдор має перевіряти отримані команди перед виконанням, однак дослідники з’ясували, що ці перевірки легко обійти. У результаті сторонній користувач може виконувати на пристрої довільні команди з root-правами.
А ось SPEAKINGSTONE працює інакше. Роутер сам регулярно зв’язується із сервером керування. Разом із запитом він може передавати модель і версію прошивки пристрою, MAC-адресу, назву Wi-Fi-мережі, локальну IP-адресу, час роботи та навіть GPS-координати. У відповідь сервер може надсилати йому команди. Серед можливостей є зміна DNS, отримання даних PPPoE та відкриття зворотного SSH-тунелю. Це дає можливість створити канал для віддаленого доступу до пристрою.
До того ж, один із запасних доменів керування SPEAKINGSTONE виявився незареєстрованим, тому VulnCheck купила його сама. На ньому дослідники запустили власний сервер, до якого замість сервера керування почали автоматично підключатися роутери з бекдором. До нього під'єдналися 392 роутери.
Зрозуміти, скільки таких пристроїв насправді працює у світі, набагато складніше. Адже ZBT виробляє обладнання, а інші компанії наклеюють на нього свої логотипи та продають як власний продукт. Дослідники простежили обладнання ZBT у США, Канаді, Австралії, на Філіппінах, у Німеччині та інших країнах. Серед брендів і продавців, які використовували платформи компанії, вони називали WiFlyer, Deep Orange, KuWFi та CroSkylink.
Але це не означає, що бекдор є в кожному роутері на базі ZBT. Деякі продавці встановлюють власну прошивку. Наприклад, у пристрої канадської MOFI, який перевірила VulnCheck, таких компонентів не знайшли.
Після першої публікації VulnCheck компанія Zbtlink тимчасово припинила продаж частини роутерів та прибрала відповідні прошивки із сайту. У компанії пояснювали, що функцію віддаленого доступу створили для техпідтримки та мали використовувати лише з дозволу клієнта.
Раніше dev.ua писав, що пов’язані з Китаєм хакери захопили понад 50 000 роутерів Asus у світі, зокрема й в Україні, і використовували їх як приховану інфраструктуру для кібершпигунства
