Router ZBT con implant factory-installed: root remoto a chiunque

VulnCheck ha rivelato due implant nel firmware di router ZBT cinesi: root remoto non autenticato, credenziali ISP rubate e DNS hijack.

VulnCheck ha divulgato il 27 agosto 2026 due implant firmware factory-installed in router prodotti da Shenzhen Zhibotong Electronics (ZBT). SPEAKINGSTONE e DARKLANTERN consentono a un attaccante remoto non autenticato l'esecuzione di comandi come root, l'esfiltrazione di credenziali ISP e il hijack del DNS. La rivelazione interrompe un silenzio del vendor che, quattro giorni prima, aveva pubblicato ancora firmware aggiornato senza menzionare la presenza dei due servizi.

I router affetti circolano anche in white-label: marchi diversi, stesso hardware, stesso firmware identico. Il rischio supply-chain si estende così ben oltre il catalogo ZBT.

Punti chiave

Due implant, SPEAKINGSTONE e DARKLANTERN, sono factory-installed nel firmware ZBT e assegnati alle CVE-2026-74232 e CVE-2026-74233, entrambe con CVSS 3.1 pari a 9.8 secondo i record VulnCheck.
DARKLANTERN ascolta su UDP/9992 con firewall stock aperto a Internet; l'autenticazione si bypassa con salt hardcoded 'mqonu.com' e MAC all-zeros, secondo l'analisi del codice Nim pubblicata da VulnCheck.
SPEAKINGSTONE beacona outbound su UDP/10000 verso un server C2 hardcoded, funziona dietro NAT e implementa comandi per rubare credenziali PPPoE, alterare il DNS e aprire tunnel SSH reverse.
VulnCheck ha rilevato 203 istanze DARKLANTERN esposte su Internet in 22 paesi e 392 dispositivi unici che hanno contattato il dominio backup di SPEAKINGSTONE, 390 dei quali in Cina.

Il meccanismo: due porte, due direzioni, un solo obiettivo

DARKLANTERN risponde come infosrvd su UDP/9992. VulnCheck ha ricostruito il protocollo binario: un pacchetto di 19 byte basta a ottenere risposta dal servizio, che si autentica con un checksum MD5 calcolato su salt hardcoded mqonu.com e indirizzo MAC. Il codice Nim contiene un percorso esplicito di bypass: se il MAC è all-zeros, l'autenticazione salta. "One packet for a root shell over the internet", ha scritto VulnCheck nel blog tecnico. Il servizio è progettato per essere raggiungibile dall'esterno: "By design, it's reachable from the outside world".

SPEAKINGSTONE, servizio yunmgrd, opera in direzione opposta. Beacona su UDP/10000 verso il dominio ac-link.com, risolto all'IP 47.107.224.89 di Alibaba Cloud a Shenzhen. Il protocollo è più articolato: cmdRun per esecuzione comandi, pppoe cred exfil per estrarre credenziali di accesso ISP, dnsSet/dnsGet per manipolare la risoluzione nomi, reverse SSH per tunnel in uscita. La struttura è quella di un accesso remoto completo, non di una diagnostica.

Entrambi i servizi sono scritti in Nim e lanciati dal binary inetdetect. VulnCheck li ha trovati su un router Deep Orange 3G/4G/LTE acquistato negli Stati Uniti per 88 dollari: white-label del modello ZBT-WE826-T2, con firmware datato 2019. L'implant era già presente al momento dell'acquisto.

La giustificazione "after-sales" e ciò che il codice smentisce

Lo scorso mese VulnCheck aveva già pubblicato la ricerca su ENDLESSDOORS, un altro implant ZBT (CVE-2026-66747) che la casa madre Zbtlink aveva giustificato come "tool di manutenzione post-vendita". La stessa infrastruttura C2—ac-link.com e IP 47.107.224.89—ricompare ora in SPEAKINGSTONE, creando un pattern che lega tre implant distinti nel tempo.

La differenza tra la narrazione aziendale e le capacità tecniche è netta. VulnCheck ha scritto: "This is a surveillance implant with root access to every device it runs on". E ancora: "No one is mistaking SPEAKINGSTONE for a customer support tool. It's not a cloud management tool. Those types of tools don't steal ISP credentials. They don't hijack DNS". Il codice implementa funzioni di sorveglianza e controllo, non di assistenza remota.

La fonte non ha rilasciato dichiarazioni pubbliche su yunmgrd o infosrvd. La pagina di download del firmware resta attiva con build del 17 agosto 2026, senza menzionare i due servizi.

La mappa dei dispositivi esposti e il profilo della base installata

I dati di scansione VulnCheck disegnano una distribuzione asimmetrica. Per DARKLANTERN, 203 istanze esposte in 22 paesi tra il 18 e il 21 agosto 2026, con 16 modelli diversi auto-riportati dalle risposte al probe. Per SPEAKINGSTONE, il dominio backup findmyipaddr.com—registrato dai ricercatori per catturare i beacon—ha raccolto 392 dispositivi unici. Di questi, 390 in Cina, 304 con SSID che inizia per 'CMCC' (China Mobile), 304 su rete China Mobile, il 83% dell'intero campione. Il modello prevalente auto-riportato è L3_V2_8 con firmware 3.0.0.4.528, in 363 casi.

Il numero 392 è un floor, non un totale: rappresenta solo i dispositivi che hanno contattato il dominio backup, non quelli che raggiungono il C2 primario. La base installata reale è sconosciuta. La CISA non ha incluso le tre CVE ZBT nel catalogo KEV al 28 agosto 2026, secondo la verifica effettuata da The Hacker News.

"One packet for a root shell over the internet" — VulnCheck

Perché è importante

Il caso ZBT solleva un problema strutturale del mercato CPE low-cost: white-label e supply-chain invisibile. Stesso hardware ZBT, firmware identico, marca diversa sul case. Il pericolo non è leggibile dal nome del vendor sullo scaffale. MOFI Network, che ricompila firmware alternativi per la stessa piattaforma hardware, è risultato esente da implant nella verifica VulnCheck: la differenza sta nel firmware, non nel silicio.

Non è noto se Zbtlink rilascerà patch, né quali modelli o firmware non elencati siano affetti. Non è chiaro chi abbia sviluppato i tre implant—ZBT, MoreQuick, o un terzo—né se il dominio findmyipaddr.com fosse originariamente controllato dal vendor o semplicemente non registrato e poi catturato. Non sono documentati attacchi attivi oltre le sonde di ricerca.

La rilevanza è duplice: per le aziende che hanno questi router in campo, l'impatto è root remoto immediato, esfiltrazione credenziali di accesso a ISP, e capacità di man-in-the-middle via DNS. Per i provider e gli MSP che distribuiscono CPE white-label, la questione è la verificabilità della supply chain firmware.

Le domande che restano aperte

Quanto è vasta la base installata?

I 392 dispositivi in sinkhole e le 203 istanze esposte sono sottoinsiemi misurati. La fonte non quantifica il totale dei dispositivi affetti a livello globale. Il numero reale dipende da modelli non scansionati, firmware non beaconati al dominio backup, e dispositivi dietro NAT che non espongono DARKLANTERN ma eseguono SPEAKINGSTONE.

Il firmware del 17 agosto 2026 risolve il problema?

La pagina di download è attiva, ma nessuna fonte documenta che le release menzionino o rimuovano yunmgrd e infosrvd.

I router white-label non-ZBT sono a rischio?

Sì, se montano firmware ZBT identico. VulnCheck ha trovato entrambi gli implant su un router Deep Orange venduto negli Stati Uniti, white-label del modello ZBT-WE826-T2. La verifica richiede l'analisi del firmware specifico, non la lettura del marchio esterno.

La rivelazione SPEAKINGSTONE-DARKLANTERN si inserisce in un pattern che VulnCheck sta tracciando da mesi: implant factory-installed in hardware cinese con C2 in Cina, giustificati come "after-sales support" ma capaci di sorveglianza di rete. Il confine tra strumento di gestione remota e backdoor non è interpretativo: quando il codice implementa il furto di credenziali ISP e il tunnel SSH reverse, la classificazione tecnica è unica. La questione aperta è chi controlli quei server, e con quale autorizzazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter