Zbtlink phát hành router với backdoor mở shell root không cần xác thực
"Researchers disclosed a factory-shipped backdoor in at least 20 Zbtlink router models, present across 21 firmware images and designed to start at boot, beacon to external C2 infrastructure, and execute commands as root. The implant, identified as ENDLESSDOORS and based on the rctl tool, can be hijacked without authentication to spawn an interactive root shell; Zbtlink has temporarily removed affected firmware and is preparing patched releases."
Rủi ro chiếm quyền root từ xa trên router bị ảnh hưởng; có thể bị hijack lưu lượng C2 và mất kiểm soát thiết bị ngay cả khi không mở cổng Internet.
Có thể gây gián đoạn mạng nội bộ, ảnh hưởng kết nối chi nhánh/IoT, và phát sinh chi phí kiểm tra, thay firmware, cô lập thiết bị.
Các nhà nghiên cứu an ninh đã công bố một backdoor cài sẵn từ nhà máy trên ít nhất 20 mẫu router Zbtlink, xuất hiện trong 21 ảnh firmware được phát hành trong hơn 2 năm. Thành phần này được theo dõi với tên ENDLESSDOORS, tự khởi chạy khi boot, định kỳ kết nối ra hạ tầng C2 bên ngoài và có thể thực thi lệnh với quyền root.
Theo phân tích của VulnCheck, implant này dựa trên công cụ rctl và được ngụy trang như một tiến trình kworker của Linux. Điểm đáng chú ý là giao thức không có handshake hay xác thực; chỉ cần chặn hoặc điều hướng lưu lượng ra ngoài là kẻ tấn công có thể chiếm phiên và mở root shell tương tác. Điều này cho phép kiểm soát router mà không cần thiết bị phải lộ trực tiếp ra Internet.
Zbtlink đã tạm thời gỡ các firmware bị ảnh hưởng khỏi trang tải xuống và cho biết đang chuẩn bị bản vá. Trong thời gian chờ, quản trị viên nên kiểm tra tiến trình, rà soát các tệp như /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg, /etc/init.d/skworker, đồng thời chặn các điểm kết nối ra ngoài liên quan.