Установено е, че рутерите Zbtlink, продавани на световните пазари, съдържат скрит имплант за отдалечен контрол, който стартира заедно с устройството.

Разкритието засяга оборудване, използвано в домове, офиси, временни обекти и превозни средства, превръщайки доверения мрежов шлюз в потенциална точка за достъп. Засегнатите устройства могат да присъстват навсякъде, където днес се внедрява малък, евтин мрежов хардуер.

Имплантът, наречен „ENDLESSDOORS“, не разчита на това жертвата да кликне върху връзка или атакуващият да проникне в рутера. Той се свързва от рутера към външна инфраструктура и чака инструкции, което означава, че обикновените правила на защитната стена може да не спрат връзката.

Анализатори от VulnCheck идентифицираха зловредния код в изображения на фърмуера за повече че от 20 модела Zbtlink и класифицираха проблема под идентификатор CVE-2026-66747. VulnCheck заяви в доклад, споделен с Cyber Security News (CSN), че компонентът стартира при зареждане и може да изпълнява команди с пълен административен контрол.

Констатацията е важна, тъй като рутерите стоят между потребителите и интернет. Злонамерен субект би могъл да използва тази позиция, за да инспектира трафика, да се придвижи по-дълбоко в локалната мрежа, да промени настройките или да инсталира допълнителни инструменти.

Скритият компонент се маскира като „kworker“ – име, което обикновено се свързва с рутинна дейност на Linux. При засегнатите рутери подозрителният процес не е нормална системна нишка: той се изпълнява като root, има собствено използване на паметта и се свързва навън като персонализирана версия на стария инструмент за отдалечен контрол rctl.

Връзката е особено опасна, тъй като няма съществена проверка на идентичността. След достигане до своя сървър, имплантът изпраща кратко регистрационно съобщение, съдържащо етикет и LAN MAC адреса на рутера. След това сървърът може да предава команди, които устройството изпълнява като root, или да изисква интерактивна обвивка (shell).

За разлика от софтуерна уязвимост, която изисква внимателно подготвена заявка, от оператора се изисква само да контролира или прихване дестинацията, на която рутерът вече се доверява. В доклада се посочва, че всеки, който може да промени резолюцията на домейна, може да поеме контрола над имплант, опитващ се да се свърже. Не се изисква действие от страна на потребителя. Този изходящ дизайн променя пътя на атаката – рутерът не трябва да излага порт за управление към публичния интернет и все пак може да достигне до командната инфраструктура чрез NAT и общо изходящо филтриране.

Изследователите потвърдиха импланта в 21 фърмуерни изображения, обхващащи устройства CPE2801, сериите WE, сериите WG и Z8102AX-2DSIM. Номерът на модела е по-важен от марката, тъй като същият хардуер и фърмуер могат да се продават под различни марки.

Няма потвърден чист фърмуер за засегнатите продукти, така че това не е обичаен проблем, който се решава просто чрез инсталиране на корекции за сигурност. Организациите трябва да идентифицират рутерите по номер на модела и да третират с изключително внимание неизвестни клетъчни CPE устройства.

Администраторите, които имат достъп до устройството, трябва да търсят процеси „kworker“ без скоби и свързаните файлове. Те също така трябва да блокират и да създават предупреждения за изброените дестинации, като същевременно следят за изходящ трафик на TCP портове 7000 и 7001 от сегменти с мрежови устройства. Само блокирането не е пълно решение, тъй като на самия засегнат фърмуер не може да се има доверие. VulnCheck препоръчва подмяна на устройствата, които пренасят реален трафик; когато подмяната не може да се извърши веднага, те трябва да се изолират зад строг изходящ контрол.

Екипите по сигурността трябва да запазят регистрационните файлове (логове) и да запишат модела, името на фърмуера, състоянието на процеса и съответните мрежови събития, преди да премахнат дадено устройство. Подмяната на засегнатото оборудване е по-безопасна от простото деактивиране на неговия скрипт за първоначално стартиране.