ZBT: due implant firmware danno root remoto a chiunque. Nessuna patch

VulnCheck ha divulgato il 27 agosto 2026 due implant firmware presenti di fabbrica nei router Shenzhen Zhibotong Electronics (ZBT): SPEAKINGSTONE e DARKLANTERN. Entrambi permettono l'esecuzione remota di comandi come root senza autenticazione. I modelli interessati vengono rivenduti con decine di marchi diversi, inclusi canali consumer come Amazon. Al 28 agosto, nessun aggiornamento firmware che rimuova i due servizi è stato confermato.

I due servizi nascosti: yunmgrd e infosrvd

SPEAKINGSTONE opera come servizio yunmgrd e stabilisce beacon verso un server di comando e controllo hardcoded, www.ac-link.com, che secondo la ricerca di VulnCheck risolve su un indirizzo IP Alibaba Cloud a Shenzhen. Il protocollo supporta l'esecuzione arbitraria di comandi root, l'esfiltrazione delle credenziali PPPoE, la lettura e scrittura di liste per dirottamento DNS, e l'apertura di tunnel SSH inversi. Un dominio backup, www.findmyipaddr.com, è hardcoded nel binario: VulnCheck ha registrato il dominio e operato un sinkhole.

DARKLANTERN esegue come infosrvd su UDP/9992, con la porta aperta verso internet dal firewall stock. Il meccanismo di autenticazione è inefficace: combina un salt hardcoded con un valore MAC wildcard azzerato che bypassa il controllo indirizzi. Questo consente a chiunque di inviare comandi con privilegi root.

Un router Deep Orange 3G/4G/LTE acquistato da fornitore statunitense a 88 dollari, etichettato come ZBT-WE826-T2 con firmware del 2019, ha rivelato entrambi gli implant al momento dell'analisi.

"This is a surveillance implant with root access to every device it runs on"
— VulnCheck supply chain research

Cifre dal campo: 392 beacon, 203 facciate esposte

L'operazione di sinkhole su www.findmyipaddr.com ha registrato 392 dispositivi unici fino al 21 agosto, di cui 390 in Cina e l'83% sulla rete China Mobile. Trecentoquattro segnalano SSID con prefisso 'CMCC', il marchio consumer dell'operatore. Questi numeri rappresentano tuttavia un pavimento: come sottolinea VulnCheck, i dispositivi raggiungono il dominio backup solo quando il C2 primario non è mai stato configurato, quindi il campione è non rappresentativo.

Per DARKLANTERN, la scansione internet del 18-21 agosto ha rilevato 203 istanze raggiungibili in 22 paesi, con 16 modelli distinti auto-segnalati nei probe. La distribuzione geografica supera i confini cinesi, indicando una rete di vendita internazionale.

I prefissi MAC 78:A3:51 e F8:5E:3C, assegnati a Shenzhen Zhibotong Electronics dall'IEEE, rappresentano l'indicatore più affidabile di provenienza hardware. ZBT vende lo stesso hardware e firmware a rivenditori per il rebranding: il numero modello, non il marchio sul case, è l'unico criterio verificabile.

La linea difensiva "strumento di debug" e il precedente ENDLESSDOORS

SPEAKINGSTONE e DARKLANTERN sono il terzo e quarto caso pubblico di implant firmware ZBT nel 2026. A giugno, VulnCheck aveva già divulgato ENDLESSDOORS (CVE-2026-66747), un altro servizio nascosto con accesso root non autenticato. La ricostruzione del pattern è chiara: ogni ciclo rivela un servizio di sistema con infrastruttura hardcoded in Cina, autenticazione assente o inefficace, esecuzione root.

Zbtlink ha rilasciato dichiarazioni pubbliche solo per ENDLESSDOORS, non per i due nuovi implant. La giustificazione ricorrente—uno strumento di diagnostica dimenticato in produzione—fronteggia la realtà di hardcoded C2, salt predeterminati e bypass di sicurezza sistematici. La distinzione tra errore umano e progettazione intenzionale resta non provata, ma la densità di elementi funzionali orientati al controllo remoto rende la prima ipotesi semanticamente insufficiente.

MOFI Network, sviluppatore di firmware indipendente per la stessa piattaforma hardware, ha confermato che la propria distribuzione è priva dei tre implant noti. Questo dimostra che la presenza dei servizi non è intrinseca alla piattaforma MediaTek sottostante.

Il vuoto normativo nel punto d'ingresso della rete

I router interessati si collocano al confine tra infrastruttura consumer e piccola impresa: dispositivi economici, spesso white-label, acquistabili su marketplace transnazionali con identità produttiva oscurata. Il modello OEM/ODM, per cui un singolo fabbricante cinese serve decine di marchi, annulla l'inventario degli asset e la valutazione del rischio.

Le conseguenze operative sono concrete. Entrambi gli implant bypassano il NAT: SPEAKINGSTONE con connessione outbound verso C2, DARKLANTERN con porta inbound direttamente esposta. Non richiedono autenticazione. Non richiedono interazione dell'utente. Conseguono privilegi massimi. Questo profilo corrisponde ai criteri del catalogo KEV di CISA, che tuttavia al 28 agosto non includeva né CVE-2026-74232 né CVE-2026-74233. VulnCheck ha inserito CVE-2026-74233 nel proprio catalogo KEV interno; CISA Vulnrichment valuta lo stato di exploitation come "proof-of-concept".

Il rischio di movimento laterale e accesso persistente è implicito nel profilo tecnico, ma il dossier non documenta exploitation in-the-wild al di fuori della ricerca e del sinkhole operativo di VulnCheck.

Perche e importante

Il brief non documenta misure correttive specifiche rilasciate da Zbtlink. Le pagine di download firmware erano attive il 28 agosto e servivano immagini datate 17 agosto, inclusi i modelli WE826-T2 e WE2426-C, ma lo stato di quei binari—se ripuliti o meno—non è verificato dalla fonte primaria. Nessuna versione firmware è indicata come correttiva nelle advisory CVE.

La fonte non specifica la natura dei dati esposti sui 392 dispositivi sinkholed oltre alle credenziali PPPoE e ai parametri di rete trasmessi nel beacon. Non emerge chi abbia inserito gli implant, con quale mandato, o se la stessa infrastruttura serva altri operatori. Il dossier non chiarisce se CISA intenda aggiungere le due vulnerabilità al catalogo KEV ufficiale.

Per gli acquirenti, l'identificazione del hardware ZBT passa esclusivamente dai prefissi MAC IEEE o dal numero modello stampato: i marchi sul case sono intercambiabili. MOFI Network offre un'alternativa firmware verificata, ma il flash richiede competenze tecniche che esulano dall'utente medio.

Il caso solleva questioni di governance della supply chain che i framework attuali non coprono: un dispositivo di rete prodotto in Cina, rivenduto in occidente con marchi sconosciuti, può contenere codice di controllo remoto preinstallato senza che esistano meccanismi di disclosure, patch o ritiro obbligatori. L'assenza di questi meccanismi è un dato di fatto, non un'ipotesi.

Domande e risposte

Come faccio a sapere se il mio router è interessato?

Verifica il numero modello stampato sul dispositivo, non il marchio sul case. I prefissi MAC 78:A3:51 o F8:5E:3C indicano hardware ZBT. La presenza dei servizi yunmgrd o infosrvd attivi conferma l'infezione, ma richiede accesso shell al router.

Perche 392 dispositivi non è il totale?

Il dominio www.findmyipaddr.com è un backup contattato solo quando il C2 primario non è configurato. I 392 dispositivi rappresentano quindi un sottoinsieme non rappresentativo: quelli mai configurati correttamente, o con C2 primario fallito.

Cosa distingue questo caso da una normale vulnerabilità firmware?

La ricorrenza sistematica: quattro implant distinti in pochi mesi, ognuno con root non autenticato, ognuno con infrastruttura hardcoded cinese. MOFI Network ha dimostrato che la stessa piattaforma hardware può funzionare senza questi servizi, scartando la spiegazione che siano necessari al funzionamento del sistema.

Fonti

• https://thehackernews.com/2026/08/china-made-zbt-routers-ship-with-two.html
• https://www.helpnetsecurity.com/2026/08/27/fbi-disrupts-china-linked-hacking-network/
• https://thomasharris6.wordpress.com/2026/08/28/china-made-zbt-routers-ship-with-two-implants-giving-unauthenticated-attackers-root-access/
• https://www.systemtek.co.uk/2026/08/chinese-made-zbt-routers-found-containing-two-hidden-backdoors/
• https://www.thehackerwire.com/zbtlink-firmware-unauthenticated-root-command-injection-udp-9992/
• https://startupfortune.com/zbtlink-routers-on-amazon-hide-a-backdoor-that-phones-china-every-35-seconds/
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/08/chinese-made-zbtlink-routers-ship-with.html
• https://thehackernews.uk/corelight-d

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti