Sicherheitsforscher haben Routern des chinesischen Herstellers ZBT untersucht. Dabei wurden Backdoors gefunden, die eine Überwachung der Router ermöglichen. Diese ZBT-Router werden weltweit vertrieben und stecken wohl auch in zahlreichen OEM-Geräten, die nicht als chinesische ZBT-Router erkennbar sind.
Ich habe mal kurz im Internet geschaut, chinesische ZBT-Router werden auch in Deutschland, z.B. über Amazon (Zbtlink AX3000 Cat6 4G LTE-Router mit Dual-SIM-Kartensteckplatz) angeboten.
Tom's Hardware weist in obigem Tweet auf den Artikel Security researchers find surveillance implants in Chinese-made routers sold worldwide — three different backdoor-like implants hidden in firmware zum Thema hin. Bei heise ist gestern dieser Beitrag zu erschienen.
Untersuchung fördert drei Hintertüren hervor
Sicherheitsforscher von VulnCheck haben sich ZBT-Router vorgenommen und deren Firmware untersucht. Dabei wurden drei Backdoor-ähnliche Implantate entdeckt, die in der Firmware von Routern des Herstellers Shenzhen Zhibotong Electronics ZBT enthalten sind. Die Sicherheitslücken haben die Sicherheitsforscher ENDLESSDOORS genannt.
Es handelt sich dabei um einen "Zufallsfund", denn Hunderte von Routern, fast alle in China, sendeten Signale an eine vergessene Domain. Die Sicherheitsforscher fanden die Domain verschleiert in der Firmware eines Zbtlink AX3000-Routers, den sie bei Amazon von einem kleinen Unternehmen aus New York gekauft hatten.
Die Sicherheitsforscher haben sich dann die Domain gesichert und konnten die Informationen, die durch Implantat-Beacons in der Firmware gesendet wurden, mitschreiben. ENDLESSDOORS fungiert im Wesentlichen als Fernsteuerungssystem, das direkt in die Firmware des Routers eingebettet ist. Es startet automatisch beim Bootvorgang und tarnt sich als normaler Linux-Kernel-Prozess namens „kworker". Der Router verbindet sich in regelmäßigen Abständen mit einem fest programmierten Server und meldet sich dort an. Dabei findet keine nennenswerte Authentifizierung oder Verschlüsselung statt. Vom Server empfangene Befehle werden direkt an eine als Root ausgeführte Shell weitergeleitet, und das Implantat kann auch eine interaktive Root-Shell aufbauen.
VulnCheck demonstrierte das Problem, indem es sich als Befehlsserver ausgab und die Kontrolle über seinen eigenen Testrouter übernahm. Angreifer, die die Domain besitzen, können die vollständige Kontrolle über den Router erlangen. Die Forscher fanden ENDLESSDOORS in der Firmware von 20 ZBT-Modellen (darunter Z8102AX, WG3526, WE826-T3-DSIM und mehrere anderen Mobilfunkroutern). Dieselbe Hardware wird auch unter anderen Namen verkauft, da ZBT Router für OEM- und ODM-Kunden herstellt. Das Ganze hat inzwischen die Kennung CVE-2026-66747 mit einem CVSS-Wert von 9,3 erhalten.
Die Sicherheitsforscher haben dann weitere Router (ZBT-WE826-T2) in den USA gekauft und fanden eine zweite, DARKLANTERN, genannte und eine dritte, SPEAKINGSTONE genannte, Schwachstelle in der Firmware. DARKLANTERN läuft als infosrvd-Dienst in der Firmware, öffnet über den UDP-Port 9992 einen Listener im WAN. Die Firmware akzeptiert dann Befehle direkt aus dem Internet und ohne Authentifizierung. Ein Angreifer muss lediglich eine feste 19-Byte-Info-Nachricht senden, um den Router dazu zu zwingen, identifizierende Informationen wie Modell, Firmware-Version, MAC-Adresse und Betriebszeit preiszugeben.
Die SPEAKINGSTONE-Backdoor initiiert automatisch und zyklisch Verbindungen über den Prozess yunmgrd auf UDP-Port 10000 zur Domain ac-link[.]com (gehört ZBT). Die Anfrage enthält ebenfalls das Gerätemodell, die Firmware-Version, MAC-Adresse, SSID des WLANs, LAN-IP, Uptime und mehr. Antworten können Aktionen ausführen, wie beliebige Befehle ausführen, WAN-PPPoE-Zugangsdaten übermitteln, eine DNS-Hijack-Liste schreiben und zurückliefern, einen Reverse-SSH-Tunnel auf- oder abbauen, oder die Command-and-Control-Adresse aktualisieren.
ZBT hat gegenüber VulnCheck angegeben, dass das ein technisches Support-Tool für den Aftersales-Service diese Kommunikation nutzen soll. Die Sicherheitsforscher sehen in den Funktionen jedoch ein Überwachungswerkzeug mit root-Zugang. Die Ergebnisse haben die Sicherheitsforscher zum 27. August 2026 im sehr umfangreichen und detaillierten Blog-Beitrag Chinese Implants in the Supply Chain veröffentlicht. VulnCheck hat dann das Internet gescannt und fand 203 exponierte DARKLANTERN-Instanzen in 22 Ländern, verteilt auf 16 Router-Modelle.
MVP: 2013 – 2016
Es ist anzunehmen, dass alle chinesischen Produkte soweit es geht präpariert sind, einfach um der dortigen Rechtslage zu entsprechen. Dies gilt auch für die E-Autos sowie Roboter, deren Verkauf sofort zu unterbinden ist.