{"id":654708,"date":"2026-08-29T22:58:44","date_gmt":"2026-08-29T22:58:44","guid":{"rendered":"https:\/\/www.europesays.com\/pl\/654708\/"},"modified":"2026-08-29T22:58:44","modified_gmt":"2026-08-29T22:58:44","slug":"firmware-z-niespodzianka-tanie-routery-zbtlink-laczyly-sie-z-serwerami-c2-i-przyjmowaly-zdalne-polecenia","status":"publish","type":"post","link":"https:\/\/www.europesays.com\/pl\/654708\/","title":{"rendered":"Firmware z niespodziank\u0105. Tanie routery Zbtlink \u0142\u0105czy\u0142y si\u0119 z serwerami C2 i przyjmowa\u0142y zdalne polecenia"},"content":{"rendered":"

\"FirmwareRoutery to sprz\u0119t, o kt\u00f3rym wi\u0119kszo\u015b\u0107 ludzi my\u015bli dopiero wtedy, gdy internet przestaje dzia\u0142a\u0107. Tania obudowa, logo nieznanej marki, kilka diod LED i tyle. Ma\u0142o kto sprawdza, kto przygotowa\u0142 firmware ani kto faktycznie wyprodukowa\u0142 p\u0142ytk\u0119. VulnCheck postanowi\u0142o zajrze\u0107 pod mask\u0119 jednego z takich urz\u0105dze\u0144 i odkry\u0142o w jego oprogramowaniu backdoory umo\u017cliwiaj\u0105ce zdalny dost\u0119p. \u015aledztwo pokazuje przy okazji, jak daleko si\u0119ga \u0142a\u0144cuch dostaw chi\u0144skiego producenta ZBT.<\/p>\n

VulnCheck znalaz\u0142o trzy r\u00f3\u017cne backdoory w firmware router\u00f3w ZBT. ENDLESSDOORS, DARKLANTERN i SPEAKINGSTONE umo\u017cliwiaj\u0105 zdaln\u0105 komunikacj\u0119 lub wykonywanie polece\u0144, a cz\u0119\u015b\u0107 urz\u0105dze\u0144 kontaktuje si\u0119 z infrastruktur\u0105 C2 bez szyfrowania i uwierzytelnienia.<\/p>\n

\"Firmware<\/a><\/p>\n

S\u0142uchawki Bluetooth zdradzi\u0142y sekret. AliExpress \u015bledzi ci\u0119 d\u017awi\u0119kiem, kt\u00f3rego nigdy nie us\u0142yszysz<\/a><\/p>\n

VulnCheck<\/a>, kierowane przez Jacoba Bainesa, znalaz\u0142o w firmware router\u00f3w Zbtlink<\/a>, marki nale\u017c\u0105cej do chi\u0144skiego Shenzhen Zhibotong Electronics (ZBT), backdoor ENDLESSDOORS (CVE-2026-66747)<\/a>. Oprogramowanie uruchamia si\u0119 wraz z systemem z uprawnieniami roota i podszywa pod proces kworker. Co oko\u0142o 35 sekund nawi\u0105zuje po\u0142\u0105czenie z zaszytym w firmware serwerem przez porty TCP 7000 i 7001. Kana\u0142 komunikacyjny nie jest szyfrowany ani uwierzytelniany, a odebrane polecenia mog\u0105 zosta\u0107 wykonane z uprawnieniami roota. VulnCheck znalaz\u0142o ENDLESSDOORS w ponad 20 modelach ZBT.<\/p>\n

\"Firmware<\/a><\/p>\n

Fotoradary mia\u0142y \u015bciga\u0107 pirat\u00f3w drogowych, a dawa\u0142y dost\u0119p rosyjskim numerom telefon\u00f3w. S\u0142owacja ma problem<\/a><\/p>\n

Na tym jednak \u015bledztwo si\u0119 nie sko\u0144czy\u0142o. Badacze kupili na Amazonie<\/a> za 88 dolar\u00f3w router Deep Orange<\/a> i ustalili, \u017ce jest to przemianowany ZBT-WE826-T2 z firmware’em z 2019 roku. Starsza wersja oprogramowania nie zawiera\u0142a ENDLESSDOORS, ale kry\u0142a dwa inne backdoory: DARKLANTERN i SPEAKINGSTONE. DARKLANTERN dzia\u0142a jako us\u0142uga infosrvd i nas\u0142uchuje na porcie UDP 9992. Router<\/a> ma domy\u015bln\u0105 regu\u0142\u0119 zapory zezwalaj\u0105c\u0105 na po\u0142\u0105czenia z internetu, a backdoor przyjmuje polecenia bez uwierzytelnienia. Mechanizm sprawdzaj\u0105cy pakiet mo\u017cna obej\u015b\u0107, poniewa\u017c kod zawiera sta\u0142y klucz u\u017cywany do wyliczenia sumy kontrolnej, a filtr adres\u00f3w MAC akceptuje specjalny wpis z\u0142o\u017cony z samych zer. VulnCheck wykry\u0142o 203 publicznie dost\u0119pne urz\u0105dzenia z DARKLANTERN w 22 krajach.<\/p>\n

\"Firmware<\/a><\/p>\n

\"Firmware<\/a><\/p>\n

\"Firmware<\/a><\/p>\n

75 tysi\u0119cy urz\u0105dze\u0144 Fortinet na celowniku. Jeden wyciek i robi si\u0119 nerwowo od korporacji po wojsko<\/a><\/p>\n

SPEAKINGSTONE dzia\u0142a inaczej. Zamiast nas\u0142uchiwa\u0107 na po\u0142\u0105czenia przychodz\u0105ce, sam \u0142\u0105czy si\u0119 z infrastruktur\u0105 ZBT przez UDP<\/a> i oczekuje na polecenia. Implant potrafi wykonywa\u0107 komendy, wykrada\u0107 dane logowania PPPoE<\/a>, zmienia\u0107 konfiguracj\u0119 DNS<\/a> oraz otwiera\u0107 odwrotny tunel SSH<\/a>. Kana\u0142 r\u00f3wnie\u017c nie zapewnia w\u0142a\u015bciwego uwierzytelnienia ani szyfrowania, przez co po\u0142\u0105czenie mo\u017ce zosta\u0107 przej\u0119te przez atakuj\u0105cego znajduj\u0105cego si\u0119 na drodze komunikacji.\u00a0VulnCheck przej\u0119\u0142o niezarejestrowan\u0105 domen\u0119 zapasow\u0105 SPEAKINGSTONE i uruchomi\u0142o tzw. sinkhole<\/a>. Do 21 sierpnia 2026 roku zg\u0142osi\u0142y si\u0119 392 unikalne urz\u0105dzenia, z czego 390 znajdowa\u0142o si\u0119 w Chinach. A\u017c 83 proc. korzysta\u0142o z sieci China Mobile. To jednak tylko urz\u0105dzenia korzystaj\u0105ce z zapasowej domeny. G\u0142\u00f3wny serwer C2 nadal dzia\u0142a, wi\u0119c rzeczywista liczba router\u00f3w z implantem pozostaje nieznana i mo\u017ce by\u0107 znacznie wi\u0119ksza.<\/p>\n

\"Firmware<\/a><\/p>\n

\"Firmware<\/a><\/p>\n

\"Firmware<\/a><\/p>\n

DSA, weto prezydenta i 16 miliard\u00f3w dolar\u00f3w. Dlaczego Polska nie potrafi zablokowa\u0107 scamu na Facebooku<\/a><\/p>\n

\u015aledztwo ujawni\u0142o r\u00f3wnie\u017c szeroki \u0142a\u0144cuch rebrandingu. Platformy ZBT trafia\u0142y na rynki USA, Kanady, Australii, Filipin, Niemiec i Rosji pod nazwami innych firm. W\u015br\u00f3d przyk\u0142ad\u00f3w VulnCheck wymienia m.in. Lippert Components WiFi On-The-Go, seri\u0119 Wave WiFi MBR 500\/550<\/a>, australijski OneX RV WIFI Route, kanadyjski MOFI4500-4GXeLTE<\/a> oraz niemiecki Digineo AC1200 Pro. Badacze zaznaczaj\u0105 jednak, \u017ce nie oznacza to automatycznie obecno\u015bci backdoor\u00f3w w ka\u017cdym urz\u0105dzeniu tych marek. Sprawdzony firmware<\/a> MOFI nie zawiera\u0142 znalezionych tylnych furtek. W przypadku ENDLESSDOORS ZBT t\u0142umaczy\u0142o, \u017ce mechanizm mia\u0142 s\u0142u\u017cy\u0107 do obs\u0142ugi posprzeda\u017cowej i diagnostyki urz\u0105dze\u0144 za zgod\u0105 klienta. Problem w tym, \u017ce VulnCheck nie znalaz\u0142o mechanizmu pozwalaj\u0105cego u\u017cytkownikowi wyra\u017anie autoryzowa\u0107 taki dost\u0119p. Po publikacji pierwszych ustale\u0144 ZBT wstrzyma\u0142o sprzeda\u017c co najmniej 20 modeli i usun\u0119\u0142o zwi\u0105zane z nimi oprogramowanie ze swojej strony.<\/p>\n

\"Firmware<\/a><\/p>\n

\"Firmware<\/a><\/p>\n

\u0179r\u00f3d\u0142o: VulnCheck, The Hacker News, CyberInsider, OpenCVE<\/p>\n","protected":false},"excerpt":{"rendered":"Routery to sprz\u0119t, o kt\u00f3rym wi\u0119kszo\u015b\u0107 ludzi my\u015bli dopiero wtedy, gdy internet przestaje dzia\u0142a\u0107. Tania obudowa, logo nieznanej…\n","protected":false},"author":2,"featured_media":654709,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[20],"tags":[12978,85,127746,2363,4997,37793,120,118,119,42,38,40,39,41,4272,116,114,115,121,117,127747,127748,127749,13514],"class_list":["post-654708","post","type-post","status-publish","format-standard","has-post-thumbnail","category-nauka-i-technika","tag-backdoor","tag-chiny","tag-cve-2026-66747","tag-cyberbezpieczenstwo","tag-firmware","tag-iot","tag-nauka","tag-nauka-i-technika","tag-naukatechnika","tag-pl","tag-poland","tag-polish","tag-polska","tag-polski","tag-routery","tag-science","tag-science-and-technology","tag-sciencetechnology","tag-technika","tag-technology","tag-vulncheck","tag-zbt","tag-zbtlink","tag-zlosliwe-oprogramowanie"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@pl\/117181280129366895","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/posts\/654708","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/comments?post=654708"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/posts\/654708\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/media\/654709"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/media?parent=654708"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/categories?post=654708"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/pl\/wp-json\/wp\/v2\/tags?post=654708"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}