В августе 2026 года обнаружены три встроенные программы удалённого управления. Они скрыты в прошивках роутеров марки ZBT. Одна из них почти два года без перерыва отправляла данные на сервер, который уже никому не принадлежал. За несколько дней на перехваченный домен отчитались 392 устройства. Подавляющее большинство из них работает в Китае. При этом речь идёт не о случайной ошибке в коде, а о готовом механизме скрытого доступа, который поставлялся вместе с оборудованием.
Описание
Инцидент стал продолжением более раннего разбора. Тогда внимание привлекла программа ENDLESSDOORS, встроенная в роутеры ZBT. Она связывалась с облачным сервисом производителя и принимала оттуда команды. Компания Shenzhen Zhibotong Electronics (ZBT) назвала её инструментом послепродажной технической поддержки. Однако в коде не нашлось ни одного механизма, который позволял бы клиенту явно запросить или разрешить такой доступ. Более того, часть версий программы полагалась на сторонние службы динамических адресов и не защищала канал связи, поэтому была уязвима к атаке "человек посередине". Чтобы проверить, что скрыто в других устройствах, исследователи купили на Amazon роутер Deep Orange за 88 долларов.
Аппарат оказался той же платформой ZBT под другим названием. Прошивка проверенного роутера была собрана ещё в 2019 году. Внутри, помимо известной программы, обнаружились ещё две. Первая, DARKLANTERN, ожидает входящих подключений из интернета на сетевом порту, который открыт для всего мира по умолчанию. Один короткий запрос - и устройство само сообщает модель, версию прошивки, сетевой идентификатор, название беспроводной сети и внешний адрес. При этом команды принимаются без пароля, а ключ проверки зашит в саму программу и потому неизменяем. Более того, фильтр по идентификатору устройства обходится простой подстановкой нулей. Иными словами, одного пакета достаточно, чтобы получить полный доступ к системе.
Насколько широко разошлась эта программа, показало сканирование открытых сетей. С 18 по 21 августа 2026 года по данным сканера Target Intelligence выявлено 203 доступных извне устройства в 22 странах. Каждое из них открывало полный доступ к системе любому, кто знал статический ключ. К тому же среди ответивших устройств оказались 16 разных моделей. Значит, проблема касается не одной партии, а целого семейства прошивок.
Вторая программа, SPEAKINGSTONE, устроена иначе. Она не ждёт подключений, а сама выходит на связь с управляющим сервером. Для злоумышленника это удобнее: устройство может стоять за несколькими межсетевыми экранами и всё равно остаться доступным. Каждое обращение содержит подробный отпечаток роутера. Помимо этого, программа умеет похищать учётные данные подключения к провайдеру, незаметно подменять адреса серверов, к которым обращаются пользователи, и открывать постоянный канал удалённого доступа. Поэтому перехватить управление может любой, кто находится на пути трафика. Управляющий сервер этой программы расположен в облаке Alibaba в Шэньчжэне и принадлежит самому производителю роутеров.
Отдельного внимания заслуживает резервный домен, зашитый в код. Его разбили на фрагменты, чтобы он не попадался при поиске по строкам. На момент анализа домен никто не регистрировал. Исследователи зарегистрировали его сами и подняли сервер, повторяющий логику управляющего протокола. Такой приём называется перехватом управления доменом. Все устройства, которые обращаются к брошенному адресу, попадают к тому, кто им владеет. Сигналы пошли сразу. К 21 августа 2026 года отчитались 392 устройства, 390 из них находятся в Китае. Большинство работает в сети China Mobile. Ещё 363 аппарата - это одна и та же модель операторского класса с одинаковой версией прошивки. Так, одно из устройств выходило на связь почти два года без перерыва. По оценке авторов работы, речь идёт о поздней стадии развёртывания, а реальное число устройств с такой прошивкой могло быть заметно больше.
Дальнейший разбор показал масштаб цепочки поставок. ZBT выпускает оборудование, которое другие компании продают под своими именами. В США такие устройства встречались в линейке Lippert Components и у Wave WiFi. В Канаде их продвигала MOFI Network, в Австралии - OneX. Немецкие Digineo и ALLNET тоже использовали платформы ZBT. Часть брендов связана с производителем напрямую. Например, товарный знак WiFlyer принадлежит ZBT, и под ним роутеры продаются в США через Amazon и Newegg. К тому же совпадают патенты, регистрации товарных знаков и документы, поданные в американский регулятор связи. При этом не все устройства содержат вредоносные вставки. В прошивке MOFI их, например, не оказалось, поскольку компания разрабатывает собственное программное обеспечение.
Для владельца такой техники последствия могут быть серьёзными. Перехват управления роутером позволяет направлять трафик всей сети на подставные серверы, похищать данные подключения к провайдеру и входить в домашнюю или корпоративную сеть напрямую. Производитель не может утверждать, что доступом никто не пользовался: контроль над программами ему не принадлежит. Защита здесь простая. По этой причине обновляйте прошивку с официального сайта. Отключайте ненужные функции удалённого управления. Проверяйте, к каким адресам обращаются устройства в сети. Если обновлений для модели давно нет, разумнее заменить оборудование. Найдены уже три набора программ в разных поколениях прошивок, поэтому вероятность новых находок остаётся высокой.
Индикаторы компрометации
YARA
