VulnCheck phát hiện hai implant trong firmware router ZBT
"VulnCheck disclosed two undocumented factory implants in ZBT router firmware, tracked as CVE-2026-74232 (SPEAKINGSTONE) and CVE-2026-74233 (DARKLANTERN). Both allow unauthenticated remote attackers to execute commands as root, with SPEAKINGSTONE using outbound UDP beacons to a hardcoded C2 and DARKLANTERN exposing an inbound UDP service with ineffective authentication; affected firmware spans multiple ZBT and white-labeled models, and no fixed remediation build was published."
Rủi ro chiếm quyền root từ xa trên router bị ảnh hưởng; không cần xác thực và có thể bị khai thác qua mạng. Các implant còn hỗ trợ C2, trích xuất thông tin và mở kênh truy cập ngược.
Ảnh hưởng đến thiết bị biên mạng có thể làm gián đoạn kết nối, tăng nguy cơ rò rỉ dữ liệu và tạo điểm bám lâu dài trong hạ tầng. Do chưa có bản vá, việc kiểm kê và giảm thiểu tạm thời là cần thiết.
VulnCheck công bố hai factory implant chưa từng được ghi nhận trong firmware của các router do Shenzhen Zhibotong Electronics (ZBT) sản xuất, được theo dõi là CVE-2026-74232 (SPEAKINGSTONE) và CVE-2026-74233 (DARKLANTERN). Cả hai đều cho phép tấn công từ xa không cần xác thực và thực thi lệnh với quyền root trên thiết bị bị ảnh hưởng.
Theo mô tả, SPEAKINGSTONE chạy dưới dịch vụ yunmgrd, gửi beacon qua UDP/10000 tới một C2 được mã hóa cứng và có thể thực thi lệnh, trích xuất thông tin PPPoE, chỉnh sửa danh sách DNS hijack và mở reverse SSH tunnel. DARKLANTERN chạy dưới dịch vụ infosrvd trên UDP/9992, với cơ chế xác thực bị đánh giá là không hiệu quả.
VulnCheck cho biết các implant xuất hiện trên nhiều mẫu ZBT và thiết bị white-label; chưa có bản firmware khắc phục được công bố. Một số mẫu bị nêu gồm WE826-T2, WE1326, WE357, WE5926 và các biến thể khác. Tổ chức này cũng ghi nhận 203 phiên bản DARKLANTERN có thể truy cập từ Internet tại 22 quốc gia, và 392 thiết bị phản hồi với SPEAKINGSTONE, chủ yếu ở Trung Quốc.
Khuyến nghị: kiểm tra model và firmware, đối chiếu với danh sách ảnh hưởng, giám sát lưu lượng UDP bất thường, chặn/giới hạn UDP/9992 và UDP/10000 nếu phù hợp, đồng thời theo dõi thông báo từ nhà cung cấp để cập nhật bản vá khi có sẵn.