Aktuell sorgen neue Erkenntnisse aus der IT-Sicherheit für erhebliches Aufsehen: Sicherheitsforscher berichten von einer werksseitigen Hintertür, die in mehreren Zbtlink-Routern eingebaut sein soll. Besonders kritisch ist, dass die Technik so ausgelegt ist, dass sie ohne Authentifizierung einen Root-Zugriff ermöglicht.
Die Auswertung basiert auf einem Bericht von VulnCheck. Dabei wird beschrieben, dass das Implantat in den verfügbaren Firmware-Abbildern für die betroffenen Modelle über einen Zeitraum von mehr als zwei Jahren nachweisbar ist. Im Kern handelt es sich um einen Mechanismus, der beim Start aktiv wird, in regelmäßigen Abständen Verbindungen zu einer Befehl-und-Kontroll-Infrastruktur aufbaut und in bestimmten Fällen eine Live-Shell mit Root-Rechten bereitstellt.
Was die Zbtlink-Router Backdoor laut Forschern auslöst
Die Forscher sprechen von einem „factory-shipped backdoor“. Das bedeutet: Die Manipulation soll bereits werksseitig in der Firmware enthalten gewesen sein. In den analysierten Firmware-Versionen, die aktuell von Zbtlink bereitgestellt werden, sei das Implantat in allen 21 Bildern enthalten, die einen Zeitraum von mehr als zwei Jahren abdecken.
Außerdem wird geschildert, dass das Implantat automatisch startet und so „telefoniert“ (Beaconing). Als Intervall nennen die Forscher dabei einen Rhythmus von etwa alle 35 Sekunden. In der Folge kann ein externer Verantwortlicher die Geräte über die Rückkanal-Verbindungen ansteuern – ohne dass die Router direkt von außen erreichbar sein müssen.
Tarnung als Kernel-Thread – tatsächlich Prozesse mit Root-Rechten
Ein weiterer Punkt, der die Zbtlink-Router Backdoor besonders problematisch macht: Die Komponente soll sich als „Linux kernel thread“ ausgeben. In Wirklichkeit handle es sich jedoch um Prozesse im Userland, die mit Root-Rechten laufen.
Damit wird die Hintertür nicht nur „versteckt“, sondern auch funktional möglichst nahtlos in den Betrieb integriert. Die Forscher erklären, dass der Code in das Umfeld legitimer Prozesse eingebettet wird und die echte Absicht dabei durch das Aussehen und Verhalten teilweise verschleiert werden soll.
ENDLESSDOORS: Ein Fernsteuer-Tool als Kern
Für die Backdoor wird der Codename ENDLESSDOORS genannt. Laut VulnCheck basiert das Ganze auf einem kleinen Werkzeug namens rctl („remote control linux“). Dieses Tool sei in einem Repository bei GitHub abgelegt worden – und zwar bereits am 14. Januar 2015, seitdem aber nicht mehr weiter angepasst worden.
Das rctl-Setup besteht aus einem Client und einem Server. Der beschriebene Server lauscht auf Port 7000 und kann dem Client entweder einzelne Shell-Kommandos übermitteln oder veranlassen, dass eine Reverse-Shell gestartet wird.
Warum keine Authentifizierung die Sache verschärft
Im Bericht wird besonders deutlich, dass das Protokoll keine „Handshake“- oder Verhandlungsmechanismen sowie keine Authentifizierung vorsieht. Sobald das Implantat eine „hello“-Nachricht an den Server sendet – unter anderem zusammen mit der LAN-MAC-Adresse – ist es darauf ausgelegt, die serverseitige Antwort sofort auszuführen.
Damit genügt es, wenn ein Angreifer die Kommunikation in die gewünschte Richtung lenkt. Die Forscher weisen darauf hin, dass sich die Steuerung dabei auch an der Namensauflösung festmachen kann: Wer die Auflösung einer zugehörigen Domain beeinflusst oder kontrolliert, kann die ENDLESSDOORS-Instanzen steuern, die sich regelmäßig an die C2-Infrastruktur melden.
Live-Interactive Root Shell per speziellen String
Ein konkretes Detail aus der Analyse betrifft einen reservierten String im Protokoll. Wenn der Implantat-Code den Wert rctlbash erhält, soll er eine zweite Verbindung aufbauen, dafür einen Pseudo-Terminal bereitstellen, /bin/sh starten und die Inhalte „brücken“.
Das Ergebnis wird als Live-Interactive Root Shell beschrieben. In der Praxis bedeutet das: Ein Angreifer kann aus der Ferne eine interaktive Root-Konsole erhalten, ohne dass der Angriffsweg zwingend über eine direkte Internet-Erreichbarkeit laufen muss.
Welche Zbtlink-Modelle betroffen sein sollen
VulnCheck nennt eine Liste von Routermodellen, in denen die Forscher die Komponente gefunden haben. Dazu gehören unter anderem: CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM und mehrere weitere Varianten wie WE2416, WE3326, WE5927 sowie WE5931 und WE5931AC.
Weitere betroffene Bezeichnungen sind unter anderem WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526 sowie Z8102AX-2DSIM. Die genaue Liste ist im Bericht vollständig aufgeführt und deckt mehrere Produktfamilien ab.
Gleiche Endpunkte in mehreren Firmware-Versionen
Zusätzlich nennen die Forscher, dass die betroffenen Geräte offenbar dieselben zentralen Endpunkte kontaktieren. In der Analyse werden dabei vier primäre bzw. sekundäre Ziele beschrieben:
- zbtctl.epplink[.]net (47.100.190[.]96)
- 47.107.224[.]89
- online-string[.]com (45.32.81[.]152)
- rbdg4nzqadui.wikaba[.]com (43.248.136[.]125)
Wenn diese Ziele durch einen Angreifer erreichbar gemacht oder die Namensauflösung entsprechend manipuliert werden, kann die Steuerung der Implantate funktionieren. Das erklärt auch, warum der Sicherheitsaspekt nicht nur im „permanent laufenden Prozess“ liegt, sondern in der gesamten Kommunikationskette.
Hinweis von Zbtlink: Firmware zeitweise vom Download genommen
Auf der Website von Zbtlink, so berichten die Forscher, erscheint für Besucher der Firmware-Downloadseite eine Mitteilung. Dort heißt es, dass firmware security vulnerabilities in ausgewählten Router-Firmware-Releases festgestellt wurden.
Als Vorsichtsmaßnahme seien die betroffenen Firmware-Versionen vorübergehend aus den Downloadkanälen entfernt worden. Gleichzeitig wird angekündigt, dass das Engineering-Team an gesicherten, gepatchten Firmware-Versionen arbeite und diese nach Validierung erneut bereitstellen wolle.
Ob und wie schnell ein Update verfügbar ist, bleibt damit für Nutzer entscheidend. Die Forscher berichten außerdem, dass sie den Hersteller kontaktiert haben und eine Aktualisierung der Story vornehmen würden, falls eine Rückmeldung erfolgt.
Was betroffene Nutzer jetzt konkret tun können
Da die Hintertür mit Blick auf die Analyse beim Boot automatisch startet, sollten sich Routerbesitzer nicht ausschließlich auf „späteres Patchen“ verlassen. Laut VulnCheck werden unter anderem folgende Prüfungen empfohlen:
- Den Prozesslisten Aufmerksamkeit schenken und auffällige Einträge untersuchen.
- Das Dateisystem nach typischen Hintertür-Komponenten durchsuchen, etwa nach Dateien wie /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg und /etc/init.d/skworker.
- Den ausgehenden Netzwerkverkehr (Egress) zu den beschriebenen Zielen blockieren, um das Beaconing und die Steuerkanäle zu unterbinden.
Die Kombination aus automatischem Start und fehlender Authentifizierung bedeutet: Selbst in Umgebungen, in denen der Router nicht direkt von außen erreichbar ist, kann ein Angreifer über Umwege an Kontrolle gelangen.
Ein Risiko, das über den Router hinaus wirkt
Wenn eine Live-Root-Shell möglich ist, ist der Router nicht nur „ein weiteres Gerät“ im Netzwerk. Er wird zum zentralen Drehpunkt: Einstellungen können verändert werden, Traffic kann umgeleitet oder überwacht werden, und Sicherheitsmechanismen lassen sich unter Umständen außer Kraft setzen.
Darum sollten Unternehmen und Privathaushalte die betroffenen Zbtlink-Router als potenzielle Kompromittierungsquelle betrachten – selbst dann, wenn bis hierhin keine offensichtlichen Störungen beobachtet wurden.
Fazit: Zbtlink-Router Backdoor schnell einordnen und eindämmen
Die beschriebenen Erkenntnisse zeichnen ein klares Bild: Die Zbtlink-Router Backdoor soll als werksseitige Firmware-Komponente existieren, beim Boot automatisch starten und über eine C2-Verbindung in kurzen Intervallen „ansprechbar“ sein. Besonders kritisch ist, dass das Protokoll ohne Authentifizierung arbeitet und so im Extremfall eine interaktive Root-Shell ermöglicht.
Solange keine vollständig validierte, gepatchte Firmware verfügbar ist, sind gezielte Prüfungen, das Suchen nach spezifischen Artefakten und das Blockieren relevanter ausgehender Verbindungen entscheidend, um das Risiko zu reduzieren. Wer einen betroffenen Router besitzt, sollte die Hinweise zeitnah umsetzen und die Firmware-Updates von Zbtlink aufmerksam verfolgen.
Quelle: https://thehackernews.com/2026/08/chinese-made-zbtlink-routers-ship-with.html
