Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
W wybranych routerach marki Zbtlink wykryto fabrycznie dostarczany backdoor określany jako ENDLESSDOORS. Problem dotyczy firmware’u urządzeń brzegowych i IoT, gdzie ukryty komponent uruchamia się automatycznie po starcie systemu, działa z uprawnieniami roota i utrzymuje komunikację z zewnętrzną infrastrukturą sterującą.
Z perspektywy bezpieczeństwa oznacza to obecność nieudokumentowanego, uprzywilejowanego kanału zdalnego dostępu, który może zostać wykorzystany do przejęcia kontroli nad urządzeniem, ingerencji w ruch sieciowy oraz naruszenia integralności całego segmentu sieci.
W skrócie
- Badacze wykryli implant ENDLESSDOORS w co najmniej 20 modelach routerów Zbtlink.
- Backdoor miał występować w 21 obrazach firmware’u dostępnych przez ponad dwa lata.
- Komponent uruchamia się przy starcie systemu i cyklicznie komunikuje się z serwerami zdalnego sterowania.
- Mechanizm nie wymaga silnego uwierzytelnienia i może wykonywać polecenia jako root.
- W określonych warunkach umożliwia zestawienie interaktywnej powłoki systemowej.
- Producent usunął wskazane obrazy firmware’u z kanałów pobierania i zapowiedział przygotowanie poprawek.
Kontekst / historia
Incydent wpisuje się w szerszy problem bezpieczeństwa firmware’u w urządzeniach OEM i ODM. W takim modelu ten sam bazowy sprzęt oraz oprogramowanie mogą trafiać do wielu odbiorców pod różnymi markami, co zwiększa ryzyko szerokiego rozprzestrzenienia pojedynczego błędu projektowego lub ukrytej funkcji serwisowej.
W tym przypadku badacze wskazali, że funkcjonalność nie wyglądała na jednorazowy artefakt testowy pozostawiony w jednej kompilacji. Obecność mechanizmu w wielu obrazach firmware’u sugeruje, że był to element wdrożony świadomie lub przynajmniej tolerowany w procesie wytwarzania i dystrybucji oprogramowania.
Choć producent miał tłumaczyć obecność mechanizmu potrzebami wsparcia posprzedażowego i debugowania, taka argumentacja nie obniża poziomu ryzyka. Nieudokumentowany kanał zdalnego dostępu z uprawnieniami roota, pozbawiony odpowiednich zabezpieczeń, należy traktować jak backdoor niezależnie od deklarowanego celu biznesowego.
Analiza techniczna
Implant podszywa się pod proces systemowy przypominający legalne wątki jądra Linux, używając nazwy kojarzącej się z procesami typu kworker. W praktyce nie jest to jednak komponent jądra, lecz proces użytkownika uruchamiany z pełnymi uprawnieniami administracyjnymi, co utrudnia wykrycie podczas pobieżnej analizy systemu.
Według badaczy ENDLESSDOORS ma być zmodyfikowaną wersją narzędzia rctl, czyli prostego mechanizmu command-and-control dla systemów Linux. Po uruchomieniu komponent inicjuje połączenia wychodzące do zdefiniowanych punktów końcowych i okresowo raportuje swoją obecność.
Kluczowym problemem jest brak silnego uwierzytelnienia w komunikacji sterującej. Oznacza to, że po zestawieniu połączenia klient może przyjmować polecenia bez wiarygodnego potwierdzenia tożsamości serwera. W praktyce znacząco obniża to próg ataku i zwiększa możliwość przejęcia urządzenia przez podmiot, który uzyska kontrolę nad ścieżką komunikacji.
Opisany mechanizm przewiduje dwa szczególnie groźne tryby działania. Pierwszy pozwala na wykonywanie pojedynczych komend systemowych z uprawnieniami roota. Drugi umożliwia otwarcie dodatkowego połączenia, utworzenie pseudo-terminala i uruchomienie interaktywnej powłoki systemowej, co daje pełny zdalny dostęp administracyjny do routera.
Istotny jest także model zagrożenia. Atakujący nie musi dysponować bezpośrednim dostępem przychodzącym z Internetu do interfejsu routera. Wystarczające może być przejęcie komunikacji wychodzącej, kontrola rozwiązywania DNS dla wskazanych domen albo podszycie się pod serwer sterujący.
W analizie wskazano również artefakty, które mogą pomóc w identyfikacji implantu. Szczególną uwagę należy zwrócić na procesy i pliki takie jak /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg oraz skrypt startowy /etc/init.d/skworker.
Konsekwencje / ryzyko
Obecność takiego backdoora oznacza możliwość pełnego przejęcia routera. Napastnik może zmieniać konfigurację sieci, przekierowywać ruch, modyfikować reguły zapory, przechwytywać transmisję oraz instalować dodatkowe komponenty malware utrzymujące trwałość po restarcie.
Dla organizacji przekłada się to na ryzyko naruszenia poufności komunikacji, ataków man-in-the-middle, sabotażu dostępności usług oraz ruchu bocznego do innych systemów wewnętrznych. Szczególnie zagrożone są oddziały zdalne, sieci przemysłowe, instalacje operatorskie i środowiska, w których router pełni rolę krytycznej bramy dostępowej.
Nie można też pomijać wymiaru supply chain. Jeżeli podobne obrazy firmware’u były dystrybuowane szerzej w modelu OEM lub ODM, skala problemu może wykraczać poza jedną markę handlową. To oznacza potrzebę przeglądu pełnego inwentarza urządzeń, a nie tylko sprzętu oznaczonego logo Zbtlink.
Rekomendacje
W pierwszej kolejności należy zidentyfikować wszystkie urządzenia Zbtlink w infrastrukturze, zwłaszcza te używane jako routery dostępowe, bramy komórkowe LTE lub 5G oraz urządzenia działające w lokalizacjach zdalnych. Następnie warto zweryfikować wersje firmware’u i porównać je z listą potencjalnie dotkniętych obrazów.
Kolejnym krokiem powinna być analiza po stronie hosta i sieci. Należy sprawdzić listę procesów, obecność wskazanych plików i wpisów startowych, a także przeanalizować logi DNS, NetFlow i ruch wychodzący pod kątem nietypowych połączeń inicjowanych przez routery.
Jeżeli urządzenie wykazuje oznaki obecności implantu, należy traktować je jako potencjalnie skompromitowane. W praktyce oznacza to odseparowanie od sieci produkcyjnej, zabezpieczenie materiału dowodowego, odtworzenie konfiguracji z zaufanego źródła oraz aktualizację lub wymianę urządzenia dopiero po udostępnieniu zweryfikowanej poprawki.
- Zablokować ruch wychodzący do nieautoryzowanych adresów i domen.
- Ograniczyć komunikację urządzeń brzegowych z Internetem wyłącznie do niezbędnych usług.
- Wdrożyć segmentację sieci i izolację stref zaufania.
- Monitorować zmiany konfiguracji oraz nietypowe restarty urządzeń.
- Rozważyć wymianę sprzętu w środowiskach krytycznych, jeśli brak wiarygodnej ścieżki naprawy.
- Zweryfikować polityki bezpieczeństwa dostawców firmware’u i proces walidacji obrazów przed wdrożeniem.
Podsumowanie
Przypadek ENDLESSDOORS pokazuje, że krytyczne ryzyko w urządzeniach sieciowych nie zawsze wynika z klasycznych podatności, lecz także z uprzywilejowanych funkcji wbudowanych w firmware bez odpowiednich zabezpieczeń. Fabrycznie dostarczany implant uruchamiany przy starcie systemu i umożliwiający wykonywanie poleceń root należy traktować jako poważne zagrożenie operacyjne.
Dla zespołów bezpieczeństwa oznacza to konieczność szybkiej inwentaryzacji urządzeń, monitorowania ruchu wychodzącego, izolacji podejrzanych systemów oraz ostrożnego podejścia do całego łańcucha dostaw oprogramowania układowego.
Źródła
- The Hacker News — Chinese-Made Zbtlink Routers Ship With Backdoor That Opens Unauthenticated Root Shells — https://thehackernews.com/2026/08/chinese-made-zbtlink-routers-ship-with.html
- VulnCheck Research Report — ENDLESSDOORS / Zbtlink router backdoor analysis — https://www.vulncheck.com/
- Zbtlink — Firmware downloads and security notice — https://www.zbtlink.com/
- GitHub — rctl (remote control linux) repository — https://github.com/