Sicherheitsforscher haben Routern des chinesischen Herstellers ZBT untersucht. Dabei wurden Backdoors gefunden, die eine Überwachung der Router ermöglichen. Diese ZBT-Router werden weltweit vertrieben und stecken wohl auch in zahlreichen OEM-Geräten, die nicht als chinesische ZBT-Router erkennbar sind.
Ich habe mal kurz im Internet geschaut, chinesische ZBT-Router werden auch in Deutschland, z.B. über Amazon (Zbtlink AX3000 Cat6 4G LTE-Router mit Dual-SIM-Kartensteckplatz) angeboten.
Tom's Hardware weist in obigem Tweet auf den Artikel Security researchers find surveillance implants in Chinese-made routers sold worldwide — three different backdoor-like implants hidden in firmware zum Thema hin. Bei heise ist gestern dieser Beitrag zu erschienen.
Untersuchung fördert drei Hintertüren hervor
Sicherheitsforscher von VulnCheck haben sich ZBT-Router vorgenommen und deren Firmware untersucht. Dabei wurden drei Backdoor-ähnliche Implantate entdeckt, die in der Firmware von Routern des Herstellers Shenzhen Zhibotong Electronics ZBT enthalten sind. Die Sicherheitslücken haben die Sicherheitsforscher ENDLESSDOORS genannt.
Es handelt sich dabei um einen "Zufallsfund", denn Hunderte von Routern, fast alle in China, sendeten Signale an eine vergessene Domain. Die Sicherheitsforscher fanden die Domain verschleiert in der Firmware eines Zbtlink AX3000-Routers, den sie bei Amazon von einem kleinen Unternehmen aus New York gekauft hatten.
Die Sicherheitsforscher haben sich dann die Domain gesichert und konnten die Informationen, die durch Implantat-Beacons in der Firmware gesendet wurden, mitschreiben. ENDLESSDOORS fungiert im Wesentlichen als Fernsteuerungssystem, das direkt in die Firmware des Routers eingebettet ist. Es startet automatisch beim Bootvorgang und tarnt sich als normaler Linux-Kernel-Prozess namens „kworker". Der Router verbindet sich in regelmäßigen Abständen mit einem fest programmierten Server und meldet sich dort an. Dabei findet keine nennenswerte Authentifizierung oder Verschlüsselung statt. Vom Server empfangene Befehle werden direkt an eine als Root ausgeführte Shell weitergeleitet, und das Implantat kann auch eine interaktive Root-Shell aufbauen.
VulnCheck demonstrierte das Problem, indem es sich als Befehlsserver ausgab und die Kontrolle über seinen eigenen Testrouter übernahm. Die Ergebnisse habe sie zum 27. August 2026 im Blog-Beitrag Chinese Implants in the Supply Chain veröffentlicht.
MVP: 2013 – 2016
