// HEISE ONLINE — MOBILE & WEB
(OEM-)China-Router von ZBT mit Backdoors
IT-Forscher haben Router vom OEM-Hersteller ZBT untersucht, die weltweit von Anbietern verkauft werden. Darin fanden sie Backdoors.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Die chinesische Firma Shenzhen Zhibotong Electronics Co., Ltd., kurz ZBT, stellt unter anderem Internet-Router her. Viele Modelle setzen auf Mobilfunktechniken wie LTE oder 5G. Andere Anbieter, selbst in Deutschland aktive, verkaufen ZBT-Router mit eigenem Markenaufkleber als sogenannte OEM-Produkte. Und darin haben IT-Forscher nun Backdoor-Funktionen aufgespürt.
Das berichten IT-Sicherheitsforscher von VulnCheck in einem Blogbeitrag. Sie haben einen ZBT-Router untersucht, den sie in den USA auf Amazon erstanden haben, und sind dabei auf hunderte Router vorrangig aus China gestoßen, die auf eine vergessene Domain verbinden, die in der Firmware der Geräte hinterlegt ist. Die ZBT-Hardware ist jedoch global im Einsatz, etwa in Australien, Deutschland, Kanada, den Philippinen, Russland und den Vereinigten Staaten. Sie kommt oftmals unter anderen Namen daher, das konkret untersuchte Modell kam von „Deep Orange“, dahinter verbarg sich das ZBT-WE826-T2-Modell.
Die IT-Forscher haben eine Telnet-Sicherheitslücke im Router missbraucht, um dadurch root-Zugriff zu erlangen und die Firmware zu extrahieren. Die stammt aus dem Jahr 2019. Darin haben sie zwei Implantate gefunden, die sie „Speakingstone“ und „Darklantern“ nennen. Speakingstone verbindet sich auf die Cloud-Infrastruktur von ZBT und nimmt von dort Anweisungen entgegen. Darklantern hingegen lauscht als Backdoor im WAN auf eingehende Verbindungen und führt Befehle aus, ohne vorherige Authentifizierung. Beide kommunizieren über UDP und werden von einem Verbindungs-Watchdog „inetdetect“ der Firmware gestartet.
Darklantern heißt als Prozess „infosrvd“ und lauscht auf UDP-Port 9992. Die Router-Firewall erlaubt explizit externe Verbindungen darauf. Der Prozess kennt ein Info-Paket, auf das er Informationen wie Firmware-Version, MAC-Adresse, Uptime und weitere Informationen auf UDP-Port 8897 zurückschickt. Zudem versteht Darklantern ein Befehlspaket, das den übermittelten Aufruf direkt an das Betriebssystem durchreicht – mittels eines Semikolons können bösartige Befehle aus dem initial vorgegebenen Pfad ausbrechen. Ob ein Befehl akzeptiert wird, bestimmt ein Token und die übermittelte MAC-Adresse. Der MAC-Filter ist jedoch Makulatur. Einerseits übergibt das Info-Paket Interessierten die MAC frei Haus. Andererseits prüft der Code die MAC nicht, wenn sie schlicht auf 00:00:00:00:00:00 gesetzt wird.
Bei einem Scan über drei Tage Mitte August haben 203 Geräte im Internet auf die Pakete reagiert. Am meisten Geräte kamen aus den USA, gefolgt von Russland, Taiwan und China und der Ukraine. Die geben allesamt Angreifern einfachen Zugang zu einer root-Shell. Die Darklantern-Backdoor haben die IT-Sicherheitsforscher noch in diversen weiteren ZBT-Routern aufgespürt.
Die Speakingstone getaufte Backdoor initiiert von sich aus Verbindungen und läuft als Prozess „yunmgrd“. Die Router mit diesem Implantat verbinden sich in regelmäßigen Abständen zur Domain „ac-link[.]com“, die zu ZBT gehört, auf UDP-Port 10000. Die Anfrage enthält ebenfalls das Gerätemodell, die Firmware-Version, MAC-Adresse, SSID des WLANs, LAN-IP, Uptime und mehr. Antworten können Aktionen ausführen, wie beliebige Befehle ausführen, WAN-PPPoE-Zugangsdaten übermitteln, eine DNS-Hijack-Liste schreiben und zurückliefern, einen Reverse-SSH-Tunnel auf- oder abbauen, oder die Command-and-Control-Adresse aktualisieren.
ZBT hat VulnCheck gegenüber angegeben, dass das ein technisches Support-Tool für den Aftersales-Service sein soll. DNS-Hijacking und Abgreifen von ISP-Zugangsdaten gehört jedoch eher nicht zum Standard-Support, bekräftigen die IT-Forscher. Sie sehen darin ein Überwachungswerkzeug mit root-Zugang.
Speakingstone hat noch eine weitere Command-and