Router ZBT con implant factory-installed: root remoto a chiunque

VulnCheck ha rivelato due implant nel firmware di router ZBT cinesi: root remoto non autenticato, credenziali ISP rubate e DNS hijack. Oltre 500 dispositivi già

VulnCheck ha divulgato il 27 agosto 2026 due implant firmware factory-installed in router prodotti da Shenzhen Zhibotong Electronics (ZBT). SPEAKINGSTONE e DARKLANTERN consentono a un attaccante remoto non autenticato l'esecuzione di comandi come root, l'esfiltrazione di credenziali ISP e il hijack del DNS. La rivelazione interrompe un silenzio del vendor che, quattro giorni prima, aveva pubblicato ancora firmware aggiornato senza menzionare la presenza dei due servizi.

I router affetti circolano anche in white-label: marchi diversi, stesso hardware, stesso firmware identico. Il rischio supply-chain si estende così ben oltre il catalogo ZBT.

Punti chiave

Due implant, SPEAKINGSTONE e DARKLANTERN, sono factory-installed nel firmware ZBT e assegnati alle CVE-2026-74232 e CVE-2026-74233, entrambe con CVSS 3.1 pari a 9.8 secondo i record VulnCheck.
DARKLANTERN ascolta su UDP/9992 con firewall stock aperto a Internet; l'autenticazione si bypassa con salt hardcoded 'mqonu.com' e MAC all-zeros, secondo l'analisi del codice Nim pubblicata da VulnCheck.
SPEAKINGSTONE beacona outbound su UDP/10000 verso un server C2 hardcoded, funziona dietro NAT e implementa comandi per rubare credenziali PPPoE, alterare il DNS e aprire tunnel SSH reverse.
VulnCheck ha rilevato 203 istanze DARKLANTERN esposte su Internet in 22 paesi e 392 dispositivi unici che hanno contattato il dominio backup di SPEAKINGSTONE, 390 dei quali in Cina.

Il meccanismo: due porte, due direzioni, un solo obiettivo

DARKLANTERN risponde come infosrvd su UDP/9992. VulnCheck ha ricostruito il protocollo binario: un pacchetto di 19 byte basta a ottenere risposta dal servizio, che si autentica con un checksum MD5 calcolato su salt hardcoded mqonu.com e indirizzo MAC. Il codice Nim contiene un percorso esplicito di bypass: se il MAC è all-zeros, l'autenticazione salta. "One packet for a root shell over the internet", ha scritto VulnCheck nel blog tecnico. Il servizio è progettato per essere raggiungibile dall'esterno: "By design, it's reachable from the outside world".

SPEAKINGSTONE, servizio yunmgrd, opera in direzione opposta. Beacona su UDP/10000 verso il dominio ac-link.com, risolto all'IP 47.107.224.89 di Alibaba Cloud a Shenzhen. Il protocollo è più articolato: cmdRun per esecuzione comandi, pppoe cred exfil per estrarre credenziali di accesso ISP, dnsSet/dnsGet per manipolare la risoluzione nomi, reverse SSH per tunnel in uscita. La struttura è quella di un accesso remoto completo, non di una diagnostica.

Entrambi i servizi sono scritti in Nim e lanciati dal binary inetdetect. VulnCheck li ha trovati su un router Deep Orange 3G/4G/LTE acquistato negli Stati Uniti per 88 dollari: white-label del modello ZBT-WE826-T2, con firmware datato 2019. L'implant era già presente al momento dell'acquisto.

La giustificazione "after-sales" e ciò che il codice smentisce

Lo scorso mese VulnCheck aveva già pubblicato la ricerca su ENDLESSDOORS, un altro implant ZBT (CVE-2026-66747) che la casa madre Zbtlink aveva giustificato come "tool di manutenzione post-vendita". La stessa infrastruttura C2—ac-link.com e IP 47.107.224.89—ricompare ora in SPEAKINGSTONE, creando un pattern che lega tre implant distinti nel tempo.

La differenza tra la narrazione aziendale e le capacità tecniche è netta. VulnCheck ha scritto: "This is a surveillance implant with root access to every device it runs on". E ancora: "No one is mistaking SPEAKINGSTONE for a customer support tool. It's not a cloud management tool. Those types of tools don't steal ISP credentials. They don't hijack DNS". Il codice implementa funzioni di sorveglianza e controllo, non di assistenza remota.

La fonte non ha rilasciato dichiarazioni pubbliche su yunmgrd o infosrvd. La pagina di download del firmware resta attiva con build del 17 agosto 2026, senza menzionare i due servizi.

La mappa dei dispositivi esposti e il profilo della base installata

I dati di scansione VulnCheck disegnano una distribuzione asimmetrica. Per DARKLANTERN, 203 istanze esposte in 22 paesi tra il 18 e il 21 agosto 2026, con 16 modelli diversi auto-riportati dalle risposte al probe. Per SPEAKINGSTONE, il dominio backup findmyipaddr.com—registrato dai ricercatori per catturare i beacon—ha raccolto 392 dispositivi unici. Di questi, 390 in Cina, 304 con SSID che inizia per 'CMCC' (China Mobile), 304 su rete China Mobile, il 83% dell'intero campione. Il modello prevalente auto-riportato è L3_V2_8 con firmware 3.0.0.4.528, in 363 casi.

Il numero 392 è un floor, non un totale: rappresenta solo i dispositivi che hanno contattato il dominio backup, non quelli che raggiungono il C2 primario. La base installata reale è sconosciuta. La CISA non ha incluso le tre CVE ZBT nel catalogo KEV al 28 agosto 2026, secondo la verifica effettuata da The Hacker News.

"One packet for a root shell over the internet" — VulnCheck

Perché è importante

Il caso ZBT solleva un problema strutturale del mercato CPE low-cost: white-label e supply-chain invisibile. Stesso hardware ZBT, firmware identico, marca diversa sul case. Il pericolo non è leggibile dal nome del vendor sullo scaffale. MOFI Network, che ricompila firmware alternativi per la stessa piattaforma hardware, è risultato esente da implant nella verifica VulnCheck: la differenza sta nel firmware, non nel silicio.

Il dossier non specifica se le build firmware del 17 agosto 2026 contengano ancora gli implant. Non è noto se Zbtlink rilascerà patch, né quali modelli o firmware non elencati siano affetti. Non è chiaro chi abbia sviluppato i tre implant—ZBT, MoreQuick, o un terzo—né se il dominio findmyipaddr.com fosse originariamente controllato dal vendor o semplicemente non registrato e poi catturato. Non sono documentati attacchi attivi oltre le sonde di ricerca.

La rilevanza è duplice: per le aziende che hanno questi router in campo, l'impatto è root remoto immediato, esfiltrazione credenziali di accesso a ISP, e capacità di man-in-the-middle via DNS. Per i provider e gli MSP che distribuiscono CPE white-label, la questione è la verificabilità della supply chain firmware.

Le domande che restano aperte

Quanto è vasta la base installata?

I 392 dispositivi in sinkhole e le 203 istanze esposte sono sottoinsiemi misurati. La fonte non quantifica il totale dei dispositivi affetti a livello globale. Il numero reale dipende da modelli non scansionati, firmware non beaconati al dominio backup, e dispositivi dietro NAT che non espongono DARKLANTERN ma eseguono SPEAKINGSTONE.

Il firmware del 17 agosto 2026 risolve il problema?

Il dossier non verifica il contenuto delle build successive al 17 agosto 2026. La pagina di download è attiva, ma nessuna fonte documenta che le release menzionino o rimuovano yunmgrd e infosrvd.

I router white-label non-ZBT sono a rischio?

Sì, se montano firmware ZBT identico. VulnCheck ha trovato entrambi gli implant su un router Deep Orange venduto negli Stati Uniti, white-label del modello ZBT-WE826-T2. La verifica richiede l'analisi del firmware specifico, non la lettura del marchio esterno.

La rivelazione SPEAKINGSTONE-DARKLANTERN si inserisce in un pattern che VulnCheck sta tracciando da mesi: implant factory-installed in hardware cinese con C2 in Cina, giustificati come "after-sales support" ma capaci di sorveglianza di rete. Il confine tra strumento di gestione remota e backdoor non è interpretativo: quando il codice implementa il furto di credenziali ISP e il tunnel SSH reverse, la classificazione tecnica è unica. La questione aperta è chi controlli quei server, e con quale autorizzazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter