Un router chinezesc pe care îl poți cumpăra chiar acum dintr-un mare magazin online local vine, din fabrică, cu un backdoor care „sună acasă la producător”. Nu e o glumă și nici o exagerare de dragul afișărilor, e concluzia unei postări pe blog publicată pe 5 august de cercetătorul Jacob Baines de la compania americană de securitate cibernetică VulnCheck, care a botezat vulnerabilitatea ENDLESSDOORS (uși infinite). Zbtlink, producătorul chinez acuzat, a și răspuns între timp, iar povestea are acum două fețe pe care merită să le punem cap la cap.
Ce a descoperit VulnCheck?
Baines a cumpărat de pe Alibaba un router chinezesc, Zbtlink AX3000, l-a conectat la o rețea izolată de test și a observat ceva neobișnuit. Routerul chinezesc încerca constant să contacteze un server aflat undeva pe internet. Nu pentru că fusese spart de cineva, ci pentru că așa a fost construit.
În lista de procese a routerului rulau doi „kworker” fără paranteze, un detaliu tehnic esențial. De ce? Jacob spune că pentru că procesele kernel legitime din Linux apar mereu între paranteze pătrate, gen [kworker/0:0H]. Cele două procese fără paranteze erau, de fapt, un program obișnuit, rulând cu drepturi depline de root, deghizat sub un nume care să treacă neobservat printre procesele reale ale sistemului. Echipa VulnCheck a numit acest implant ENDLESSDOORS. Exprimarea lor exactă este, citez: „They are an implant, a phone-home trojan horse. Our zero-day research team named this ENDLESSDOORS.”
La bază, e o versiune adaptată a unui instrument numit rctl (remote control linux), un proiect obscur încărcat pe GitHub în 2015 și uitat acolo. rctl are două componente, un server, aflat pe internet, și un client integrat în firmware și mascat sub numele kworker.
Clientul e cel care sună, adică la fiecare pornire, routerul se conectează singur la server, nu invers. Routerul chinezesc inițiază conexiunea din interiorul rețelei spre exterior, nu cineva din exterior încearcă să intre. Astfel, conexiunea inițiată din interior trece mai ușor prin NAT și prin firewall-urile obișnuite, care permit de regulă conexiunile outbound. Routerul pare complet închis unei scanări, dar rămâne controlabil, pentru că el e cel care bate la ușa serverului, nu invers.
De ce e grav și nu doar enervant
Partea cu adevărat problematică nu e că acest router chinezesc comunică cu un server extern, multe dispozitive fac asta pentru actualizări sau telemetrie. Problema e cum comunică. Comunicarea dintre router și server nu trece prin nicio verificare. Nu există schimb de chei, nu există parolă, nu există niciun pas care să confirme că cele două părți sunt cine pretind că sunt, routerul pur și simplu vorbește cu orice răspunde la celălalt capăt.
Tot ce trimite, la prima conectare, e un pachet scurt (39 de octeți în total, din care 33 sunt un cod de identificare completat cu zerouri) care conține un cod de identificare și adresa MAC din rețeaua locală. De aici încolo, comenzile primite de la server sunt executate automat cu privilegii root, fără o verificare suplimentară.
VulnCheck a testat practic tot, ca să vadă dacă atacul chiar funcționează. Cercetătorii au construit un server fals, care să preia rolul celui pe care routerul îl contactează în mod normal, și au așteptat ca AX3000 să se conecteze singur, așa cum face de fiecare dată la pornire. Odată conectat, i-au cerut acces complet la sistem și l-au primit pe loc, fără nicio piedică, ca și cum ar fi avut acces direct la router. Vulnerabilității de securitate i s-a dat numele CVE-2026-66747.
Nu e un singurul router chinezesc, sunt 20 și posibil 100.000
Cercetătorii au verificat aproape toate firmware-urile disponibile pe pagina oficială de download a Zbtlink și au găsit implantul în douăzeci de modele diferite, pornit automat la fiecare boot printr-un script numit „skworker”. Printre ele se numără și WG3526 și AX3000 (Z8102AX-2DSIM), două routere chinezești pe care le găsești fără probleme și în magazinele online locale, listate sub brandul Zbtlink.
Lista completă de la VulnCheck este: CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526, Z8102AX-2DSIM. Ține cont că la noi sau în altă zonă din lume pot avea coduri ușor diferite (adăugat un sufix), dar codul de bază e același.
O problemă suplimentară ar fi că Zbtlink e producător OEM/ODM, adică construiește routere cu același hardware pentru orice client care vrea să-și pună numele pe el. Un router „Wiflyer WG3526″ este, de fapt, exact același dispozitiv vulnerabil cu altă etichetă. Populația reală de dispozitive afectate ar putea fi mai mare decât cele douăzeci de modele testate, dar cercetătorii nu au avut cum să le verifice pe toate.
Potrivit Reuters, estimarea lui Jacob Baines, care este și CTO la VulnCheck, nu doar simplu cercetător, este că ar exista cel puțin 100.000 de routere afectate în lume.
Routerele afectate comunică, în total, cu doar patru adrese, două găzduite pe Alibaba Cloud, una pe Vultr și una printr-un serviciu DDNS chinezesc, ceea ce sugerează o infrastructură centralizată, deloc întâmplătoare.
De ce n-a comunicat nimeni cu Zbtlink înainte de publicare
VulnCheck nu a anunțat producătorul înainte de publicare, ceea ce contrazice o practică standard din industria de securitate. De regulă, cercetătorii dau vendorului un răstimp (30, 60, 90 de zile) să repare problema înainte ca ea să devină publică.
Justificarea companiei e că acest proces, numit disclosure coordonat, pornește de la premisa că producătorul nu a intenționat comportamentul respectiv, că e un bug. Aici, spun ei, acea premisă nu se susține. Nu este, susține VulnCheck, o eroare de programare pe care producătorul să nu știe că a introdus-o, ci o componentă inclusă deliberat în firmware. Din acest motiv, cercetătorii au tratat cazul mai degrabă ca pe o problemă de încredere în dispozitiv decât ca pe un bug obișnuit.
Noi am fi pus o întrebare, că așa se face în jurnalism, când scrii ceva despre o persoană, situație, entitate, îi dai ocazia să-și spună punctul de vedere, ca materialul să fie complet. Astă e și motivul pentru care n-am dat materialul mai devreme, am așteptat o reacție de la Zbtlink.
În acest context, poate merită menționat și că VulnCheck se află într-o perioadă de expansiune, a strâns 25 de milioane de dolari într-o rundă Series B în februarie 2026, ajungând la un total de 45 de milioane de dolari finanțare de la investitori precum Sorenson Capital, National Grid Partners, Ten Eleven Ventures și In-Q-Tel ( afiliat serviciilor americane de informații). Un raport de securitate care face mare vâlvă, publicat chiar în această perioadă, nu strică imaginii unei companii aflate în plină strângere de capital. Pe de altă parte, nu există însă nicio dovadă că finanțarea sau nevoia de vizibilitate au influențat decizia VulnCheck de a publica cercetarea fără să contacteze mai întâi Zbtlink.
Ce a răspuns Zbtlink
Într-un comunicat oficial semnat Shenzhen Zbtlink Electronics, compania confirmă că a luat cunoștință de raportul VulnCheck, dar oferă o versiune diferită asupra poveștii. Componenta rctl ar fi, spun ei, un instrument de suport tehnic post-vânzare, folosit exclusiv la cererea explicită și cu autorizarea clientului, pentru depanare și configurare. Niciodată, susțin ei, pentru acces neautorizat.
În același comunicat, Zbtlink anunță trei măsuri concrete:
- a oprit imediat vânzările modelelor afectate;
- a retras de pe site descărcările pentru firmware-urile în cauză;
- lucrează la actualizări care să elimine complet problema legată de rctl.
Compania spune că tratează raportul cu seriozitate și oferă suport prin email clienților îngrijorați. Din punct de vedere al gestionării crizei, e o reacție profesionistă: recunoaștere publică, oprirea vânzărilor, retragerea firmware-ului, promisiunea unei reparații. Comparativ cu tăcerea sau negarea totală pe care le aleg adesea companiile prinse cu garda jos, e un răspuns peste medie.
O concluzie
Explicația tehnică din spatele reacției, însă, nu se potrivește cu ce arată raportul VulnCheck. Dacă rctl ar fi cu adevărat un instrument activat „doar la cererea clientului”, ar trebui să existe un mecanism prin care clientul declanșează sau autorizează conexiunea. Un buton în interfața routerului, un cod primit de la suport, ceva. În schimb, implantul pornește automat la fiecare boot și încearcă conexiunea fără nicio intervenție din partea utilizatorului.
Comunicarea nu are autentificare de niciun fel, nu verifică identitatea serverului, nu cere parolă, nu cere token, ceea ce ar fi greu de justificat dacă rolul declarat era unul de suport controlat și autorizat. În plus, procesul rulează deghizat sub un nume care imită firele native ale kernelului Linux, un detaliu de design care nu are sens pentru un instrument legitim, documentat, pe care utilizatorul îl solicită de bunăvoie. Ascunderea e caracteristică unui sistem gândit să nu fie observat, nu unuia transparent. Iar componenta nu a fost menționată niciodată public, în niciun manual sau ecran de consimțământ, înainte de raportul VulnCheck, ceea ce face „autorizarea clientului” invocată de companie greu de susținut în practică.
Cu alte cuvinte, felul în care Zbtlink a gestionat criza e corect. Dar explicația despre ce ar fi fost, de fapt, componenta rctl, seamănă mai mult a justificare construită după dezvăluirea VulnCheck, decât a descriere fidelă a unui sistem construit pe bune pentru suport.
Dar, în final, cercetarea VulnCheck demonstrează existența unei portițe care poate oferi control complet asupra routerului, nu și că Zbtlink sau altcineva ar fi folosit-o efectiv pentru a accesa dispozitivele clienților sau pentru a exfiltra date.
Ce poți face dacă ai un asemenea router chinezesc
La momentul raportului inițial, nu exista firmware curat de instalat, iar VulnCheck a recomandat tratarea situației ca o problemă de încredere în dispozitiv, nu ca pe un bug de patch-uit. Verifică exact modelul pe care-l ai, dacă te pricepi inspectează lista de procese ca să vezi dacă apar acei „kworker” suspecți fără paranteze. Cel mai sigur ar fi înlocuirea routerului. Zbtlink lucrează acum la o actualizare care să elimine componenta, dar până la lansarea ei oficială, recomandarea de bază rămâne valabilă.
Dacă ai acasă sau la birou un router chinezesc de la Zbtlink, Wiflyer sau orice alt model mai puțin cunoscut, verifică numărul de model din lista de mai sus. Durează cinci minute și poate face diferența dintre o rețea privată și una la care, teoretic, are acces oricine controlează serverul potrivit.
Autor
