Предустановленная закладка в роутерах Zbtlink позволяет удалённо управлять устройствами

Производитель - компания Shenzhen Zhibotong Electronics, которая выпускает роутеры под собственным брендом, а также изготавливает устройства по заказу других вендоров. В результате одно и то же устройство может продаваться под разными именами, например Wiflyer, что заметно затрудняет идентификацию. Проблеме присвоен идентификатор CVE-2026-66747.

Закладка начинает работать сразу после включения роутера. Она маскируется под системный процесс kworker, который всегда присутствует в списке задач операционной системы Linux, поэтому обнаружить её крайне сложно. При каждом включении устройство обращается к одному из четырёх командных серверов, размещённых в облачных хостингах в разных регионах мира.

Исследование VulnCheck показало, что вредоносный компонент умеет не только выполнять отдельные команды, но и открывать полноценный удалённый доступ к устройству с правами администратора. Для этого не требуется сложной эксплуатации уязвимостей - достаточно, чтобы роутер сам установил соединение с сервером атакующего. При этом закладка не проверяет подлинность командного центра и не использует механизмы шифрования для защиты управляющего канала, поэтому любой, кто контролирует адрес или канал связи, может перехватить управление.

Особую опасность представляет то, что соединение инициирует сам роутер. Из-за этого закладка работает даже за несколькими уровнями межсетевых экранов, ведь исходящий трафик обычно не блокируется. Чтобы получить доступ к устройству, злоумышленнику не нужно искать открытые порты или обходить защиту периметра - достаточно дождаться, пока роутер сам выйдет на связь. Устройство за одним файрволом так же уязвимо, как и роутер с публичным адресом.

Исследователи проверили прошивки, опубликованные на официальном сайте производителя, и подтвердили, что закладка присутствует в каждой из них. Среди затронутых моделей - CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526, Z8102AX-2DSIM и ряд других. При этом компания активно предлагает услуги по выпуску продукции под чужими брендами, поэтому аналогичная прошивка может встречаться в роутерах других производителей. Проверять устройства нужно по номеру модели, а не по логотипу на корпусе.

Примечательно, что сами исследователи приобрели один из таких роутеров через онлайн-площадку Alibaba для проверки. Уже в лабораторных условиях устройство начало регулярно отправлять запросы на внешние серверы, что стало отправной точкой для анализа. В ходе эксперимента специалисты перехватили исходящее соединение закладки и получили полный контроль над роутером, подтвердив тем самым реальность угрозы.

Контроль над роутером открывает злоумышленнику доступ к локальной сети, в которой установлено устройство. Через такую точку входа атакующий может перенаправлять пользователей на поддельные сайты, перехватывать незашифрованный трафик и проводить атаки на другие устройства. Кроме того, роутер может использоваться как промежуточная площадка для скрытых атак на сторонние системы, что затрудняет их отслеживание. Особенно критична ситуация для гостиниц, филиалов компаний и автопарков, где подобные роутеры часто устанавливаются для организации связи и работают годами без проверки.

Поскольку закладка встроена в прошивку на этапе производства, официального обновления, устраняющего проблему, не существует. Более того, разработчики вредоносного компонента использовали исходный код публичного инструмента удалённого управления, опубликованного на GitHub ещё в 2015 году, и адаптировали его под свои задачи. Протокол обмена данными предельно прост: роутер отправляет короткое сообщение с идентификатором устройства, а сервер в ответ передаёт команды на выполнение. Вредоносный код не использует сложных методов шифрования или проверки подлинности, что упрощает его перехват.

Эксперты рекомендуют владельцам таких устройств провести инвентаризацию сетевого оборудования и сверить номера моделей со списком затронутых. При наличии технической возможности следует проверить список процессов на роутере: наличие подозрительного процесса kworker с признаками активности - повод для беспокойства. Кроме того, на межсетевом экране необходимо заблокировать исходящие подключения к известным командным серверам и настроить оповещения о таких попытках. Важно помнить, что простое блокирование без оповещения не позволит вовремя обнаружить заражённые устройства.

Для устройств, используемых в корпоративной среде или для передачи важных данных, наиболее разумным решением будет замена оборудования. Отключение вредоносного компонента вручную не гарантирует отсутствия других закладок в прошивке. Даже если роутер изолирован в отдельном сегменте сети, остаётся риск его использования в качестве канала для скрытных атак. Если замена невозможна, устройство следует разместить за строгим контролем исходящего трафика и считать его локальную сеть недоверенной.

Проблема усугубляется тем, что закладка была намеренно добавлена производителем и поставляется в прошивках уже несколько лет. Это не случайная ошибка кода, а сознательно интегрированный компонент, что делает традиционные процедуры раскрытия уязвимостей бессмысленными. Публикация исследования преследует практическую цель: дать защитникам инструменты для обнаружения заражённых устройств и предотвращения потенциальных атак. Решение об опубликовании без предварительного уведомления производителя объясняется тем, что закладка не является уязвимостью в традиционном смысле, а значит, исправление невозможно.