ZBT, scoperti DarkLantern e SpeakingStone: backdoor root nei router venduti anche negli USA

🛡️ Executive Summary

• VulnCheck scopre nei firmware ZBT due nuovi impianti, DarkLantern e SpeakingStone, oltre alla precedente backdoor ENDLESSDOORS.
• DarkLantern espone una shell root via UDP/9992, mentre SpeakingStone riceve comandi, ruba credenziali PPPoE e può modificare il DNS.
• Il sinkhole di VulnCheck ha ricevuto beacon da 392 dispositivi; 390 erano in Cina, ma gli stessi impianti compaiono su router venduti negli USA.

La vicenda dei router ZBT diventa un caso di supply chain molto più ampio della backdoor ENDLESSDOORS scoperta ad agosto. VulnCheck ha identificato altri due impianti, denominati DarkLantern e SpeakingStone, all’interno del firmware di un router white-label prodotto dalla cinese Shenzhen Zhibotong Electronics e acquistato negli Stati Uniti attraverso Amazon. DarkLantern espone direttamente su Internet un servizio capace di eseguire comandi come root, mentre SpeakingStone contatta autonomamente l’infrastruttura ZBT e può ricevere istruzioni, rubare credenziali PPPoE, modificare il DNS e aprire tunnel SSH inversi. Il dato più significativo arriva dal sinkhole creato dai ricercatori: 392 dispositivi hanno iniziato spontaneamente a collegarsi al dominio di backup recuperato dal firmware.

DarkLantern consegna una shell root con un singolo pacchetto UDP

La nuova ricerca nasce dal tentativo di capire quanto fosse estesa la presenza di ENDLESSDOORS nella catena OEM di ZBT. VulnCheck ha acquistato un router Deep Orange 3G/4G/LTE, in realtà un ZBT-WE826-T2 rimarchiato, e dopo aver ottenuto root sul dispositivo ha scoperto che il firmware del 2019 era troppo vecchio per contenere ENDLESSDOORS. Al suo interno erano però presenti altri due componenti.

L’analisi tecnica pubblicata da VulnCheck descrive DarkLantern come il servizio infosrvd, scritto in Nim e in ascolto sulla porta UDP 9992, esplicitamente aperta dal firewall verso Internet. Una richiesta di appena 19 byte restituisce modello, firmware, MAC address, SSID, IP pubblico e altre informazioni sul dispositivo; un secondo tipo di pacchetto permette invece di inviare una stringa che viene passata al comando /etc/exec/cmd. Il controllo previsto dal protocollo utilizza un checksum ricostruibile e un filtro sul MAC aggirabile, permettendo in pratica esecuzione arbitraria di comandi come root senza autenticazione. Tra il 18 e il 21 agosto VulnCheck ha identificato 203 istanze DarkLantern esposte direttamente su Internet in 22 paesi e distribuite su 16 modelli differenti.

Leggi anche: Zbtlink vende router con ENDLESSDOORS e accesso root preinstallato

SpeakingStone chiama casa e può dirottare DNS e connessioni

SpeakingStone segue un modello ancora più pericoloso perché non necessita che il router sia direttamente raggiungibile dalla WAN. Il servizio yunmgrd stabilisce autonomamente connessioni UDP verso l’infrastruttura di comando e controllo di ZBT, utilizzando come server principale ac-link[.]com. Il beacon contiene modello, firmware, MAC address, SSID, indirizzo LAN, uptime e altri dati identificativi.

Il protocollo accetta comandi senza un’autenticazione crittografica del server e comprende funzioni per eseguire shell command, esfiltrare username e password PPPoE, modificare le impostazioni DNS, attivare DNS hijacking, aprire un reverse SSH tunnel e cambiare i server C2 di backup. L’architettura permette al componente di funzionare anche dietro NAT o firewall aziendali perché la connessione viene iniziata dal dispositivo compromesso.

È lo stesso vantaggio operativo che ha reso preziosi i router nelle reti ORB cinesi costruite con LongLeash per nascondere il traffico degli operatori APT, ma qui il componente non viene installato dopo una compromissione: è già presente nel firmware analizzato.

VulnCheck registra il dominio dimenticato e riceve 392 router

La scoperta più concreta arriva dal dominio findmyipaddr[.]com, inserito in forma offuscata nel binario come server C2 alternativo. Quando i ricercatori hanno analizzato il firmware il dominio non risultava più registrato: VulnCheck lo ha quindi acquistato e ha implementato una versione del protocollo SpeakingStone per trasformarlo in un sinkhole. I dispositivi hanno iniziato immediatamente a collegarsi. Al 21 agosto 2026 erano stati identificati 392 router unici, dei quali 390 localizzati in Cina; 363 utilizzavano lo stesso modello L3_V2_8 con firmware 3.0.0.4.528 e l’83% risultava collegato alla rete China Mobile. Secondo VulnCheck, questa concentrazione suggerisce una distribuzione su larga scala attraverso CPE utilizzati nel mercato cinese. Il problema assume però una dimensione internazionale perché la stessa supply chain ZBT arriva negli Stati Uniti, Canada, Australia, Filippine, Germania e Russia, spesso attraverso apparati rimarchiati. Il rischio dei router utilizzati come infrastruttura invisibile è già emerso con QScan e QTRouter, sequestrati dall’FBI dopo essere stati utilizzati per costruire reti proxy legate all’ecosistema cyber cinese.

Tre impianti diversi cancellano la spiegazione del semplice supporto remoto

Dopo la precedente disclosure di ENDLESSDOORS, ZBT aveva sostenuto che il componente fosse destinato all’assistenza tecnica post-vendita e utilizzato soltanto con autorizzazione del cliente. VulnCheck contesta questa spiegazione alla luce delle nuove evidenze: DarkLantern non implementa autenticazione ed espone direttamente una capacità root sulla WAN, mentre SpeakingStone può sottrarre credenziali ISP, modificare il DNS e aprire tunnel SSH inversi.

I ricercatori sottolineano inoltre di non aver individuato un meccanismo attraverso il quale il proprietario del router possa approvare esplicitamente l’accesso. La presenza di tre famiglie differenti — ENDLESSDOORS, DarkLantern e SpeakingStone — in più generazioni firmware porta quindi il problema oltre la singola vulnerabilità. Un precedente simile era emerso con la backdoor amministrativa scoperta nei firmware Tenda, ma il caso ZBT aggiunge un’infrastruttura di comando e controllo preconfigurata e funzionalità direttamente utilizzabili per sorveglianza e manipolazione del traffico.

Continua con:

• Evooo1Bot trasforma router e gateway compromessi in proxy SOCKS5 e nodi DDoS
• FBI spegne QScan e QTRouter, infrastrutture proxy cinesi costruite attraverso dispositivi edge

I router ZBT diventano un problema di fiducia nella supply chain

La nuova ricerca rende difficile trattare gli apparati interessati come dispositivi semplicemente vulnerabili da aggiornare. VulnCheck ha trovato tre differenti impianti in firmware ZBT appartenenti a generazioni diverse, mentre l’azienda realizza hardware OEM e ODM che può arrivare sul mercato con marchi differenti. DarkLantern permette controllo root direttamente dalla WAN; SpeakingStone continua invece a funzionare anche dietro NAT e firewall e può manipolare la risoluzione DNS dell’intera rete. Per aziende e amministratori il primo passo è quindi individuare gli apparati ZBT e white-label presenti nell’inventario, controllare traffico UDP verso le porte 9992 e 10000, monitorare le risoluzioni dei domini pubblicati da VulnCheck e considerare la sostituzione dei dispositivi coinvolti. Il problema non è più stabilire se un singolo router abbia una vulnerabilità: è capire se il firmware installato possa essere considerato attendibile.