Des chercheurs en cybersécurité alertent sur une backdoor Zbtlink discrète, intégrée « côté usine » dans au moins une vingtaine de modèles de routeurs. Selon un rapport de VulnCheck, l’implantation se retrouve dans toutes les images de firmware actuellement disponibles chez le fabricant, dès lors qu’elles couvrent une période de plus de deux ans.
L’inquiétude vient du fonctionnement : la porte dérobée démarre automatiquement, se fait passer pour un processus du noyau Linux, puis tente de joindre des serveurs de commande et contrôle (C2) très fréquemment. À la clé, les systèmes exposés peuvent être compromis à distance, jusqu’à l’obtention d’une session root interactive — sans étape d’authentification.
Une backdoor « factory-shipped » dans les firmwares
VulnCheck indique que l’implant ENDLESSDOORS apparaît dans 21 images de firmware issues de modèles Zbtlink, toutes intégrant le même mécanisme. Les analyses suggèrent que la fonctionnalité a été conservée dans le temps, ce qui augmente le risque pour les appareils déployés.
Le rapport décrit une logique de type « téléphone vers l’extérieur » : la backdoor cherche à contacter l’infrastructure C2 à un rythme pouvant aller jusqu’à un appel toutes les 35 secondes. Cette régularité facilite la détection côté réseau, mais surtout donne un point d’entrée récurrent à un attaquant.
ENDLESSDOORS : déguisement en thread noyau et exécution en root
Pour masquer sa présence, l’implant se camoufle comme un « thread » du noyau Linux, tout en fonctionnant en réalité comme des processus en espace utilisateur. Le détail important est que ces processus tournent avec des privilèges root.
VulnCheck précise que l’implant blend son activité avec d’autres processus légitimes, notamment des instances ressemblant à des tâches de type kworker. Sur un système non instrumenté, la confusion peut retarder la réaction, surtout si la liste des processus attendus semble cohérente.
Le cœur du mécanisme : rctl, un client/serveur de contrôle à distance
Au centre du dispositif, VulnCheck identifie un outil nommé rctl (remote control linux), décrit comme un petit client/serveur de contrôle. D’après les informations relayées, le code associé à ce projet aurait été publié sur GitHub le 14 janvier 2015, puis laissé inchangé.
Un serveur à un port fixe
Le serveur rctl écoute sur le port 7000 pour recevoir des connexions. Une fois la communication établie, le serveur peut soit envoyer des commandes directes au client, soit déclencher l’ouverture d’une shell bash inversée selon la configuration et le message reçu.
Dans le scénario observé, la communication vise à récupérer et exécuter du contenu distant, ce qui transforme le routeur en point de contrôle à la demande.
Pas de poignée de main, pas d’authentification
Autre élément qui rend l’attaque particulièrement dangereuse : la backdoor ne met en place ni négociation ni authentification. Le mécanisme démarre en envoyant un message « hello » au serveur, auquel s’ajoute notamment l’information LAN MAC address.
Ensuite, une fois que l’implant a établi le contact, il est conçu pour exécuter directement ce que le serveur renvoie. Autrement dit, si un acteur malveillant parvient à influencer la communication sortante, l’étape critique d’authentification n’est pas un obstacle.
Comment un attaquant peut obtenir un shell root interactif
VulnCheck indique qu’une chaîne réservée — rctlbash — sert de déclencheur. Lorsque le serveur renvoie cette valeur, l’implant établit une seconde connexion vers le port 7001, alloue un pseudo-terminal, lance /bin/sh, puis relie l’ensemble pour produire une session interactive root.
Sur le terrain, cela signifie que l’attaquant n’obtient pas seulement une commande ponctuelle : il peut viser une prise de contrôle plus « conversationnelle » du routeur, utile pour maintenir l’accès, collecter des informations ou réorienter le trafic.
Des points d’entrée : serveurs C2 et risque lié à la résolution DNS
Le protocole, tel que décrit, se résume à deux intentions principales : « exécute ceci en root » et « donne-moi un shell root ». Mais le rapport souligne également un levier supplémentaire : la communication peut être interceptée ou redirigée par un attaquant qui se place sur le chemin réseau.
Le risque augmente si un acteur malveillant contrôle la résolution de domaines impliqués. En particulier, VulnCheck cite des éléments tels que rbdg4nzqadui.wikaba[.]com. Si ce nom finit par pointer vers une infrastructure contrôlée, alors l’implant ENDLESSDOORS tentera de « phone home » vers un serveur de l’attaquant.
Un autre point est mis en avant : un attaquant peut prendre le contrôle du routeur sans devoir exposer l’appareil sur Internet. Il lui suffit d’exploiter les connexions sortantes déclenchées par la backdoor.
Quels modèles Zbtlink sont touchés ?
VulnCheck liste de nombreux modèles dans lesquels l’implant a été retrouvé. Parmi eux :
- CPE2801
- WE1026-5G-WD
- WE1326
- WE2007
- WE2008-DSIM
- WE2416
- WE3326
- WE5927
- WE5931
- WE5931AC
- WE826-T3-DSIM
- WG108
- WG1602
- WG1608-DSIM
- WG209
- WG2105
- WG2107
- WG259
- WG3526
- Z8102AX-2DSIM
Le périmètre n’est donc pas limité à un seul produit : il s’étend à plusieurs références, ce qui suggère un pattern reproductible au sein de la chaîne de build.
Les destinations de communication décrites par VulnCheck
Selon les observations, chaque modèle analysé compose des tentatives vers un ensemble identique d’éléments principaux et secondaires. VulnCheck mentionne notamment :
- zbtctl.epplink[.]net (47.100.190[.]96)
- 47.107.224[.]89
- online-string[.]com (45.32.81[.]152)
- rbdg4nzqadui.wikaba[.]com (43.248.136[.]125)
Ces adresses et domaines constituent des indicateurs utiles pour l’analyse réseau et la mise en place de règles de filtrage sortant.
Le fabricant retire temporairement des firmwares
Au moment de la publication, les visiteurs de la page de téléchargement de firmwares Zbtlink voient un message indiquant que des vulnérabilités de sécurité touchent des versions spécifiques. Le fabricant explique avoir retiré temporairement les firmwares concernés afin de développer et valider des correctifs.
Le texte promet une notification une fois les versions sécurisées disponibles. D’après le suivi rapporté, la rédaction a contacté le fabricant pour obtenir davantage de commentaires, avec une mise à jour annoncée si réponse.
Que faire : vérifications locales et réduction des connexions sortantes
En attendant une mise à jour officielle, VulnCheck recommande des actions concrètes. L’objectif est double : détecter la présence de l’implant et bloquer ses points de sortie.
Contrôler la liste des processus
Commencez par inspecter la liste des processus et cherchez des éléments ressemblant à des processus de type kworker inhabituels ou inattendus. Le camoufl age étant un mécanisme central, une comparaison avec l’état habituel du routeur peut aider.
Rechercher des fichiers associés
Le rapport cite plusieurs chemins à investiguer, par exemple :
- /usr/sbin/kworker
- /usr/lib/librctl.so
- /etc/kworker.cfg
- /etc/init.d/skworker
La présence de fichiers et de scripts à ces emplacements, en particulier s’ils ne devraient pas exister, peut être un signal fort.
Bloquer les endpoints d’egress
Enfin, VulnCheck suggère de bloquer les points de sortie vers les destinations utilisées pour le « phone home ». En pratique, cela revient à limiter les connexions sortantes vers les domaines et adresses IP mentionnés plus haut, afin de réduire les chances que la backdoor établisse une communication.
Gardez toutefois à l’esprit que le blocage doit s’accompagner d’une vérification : un filtrage trop large peut impacter des fonctions réseau attendues. Il vaut mieux appliquer des règles ciblées et documentées.
Pourquoi cette affaire mérite une attention immédiate
Une backdoor Zbtlink n’est pas seulement un risque théorique : la description met en avant une chaîne d’exploitation directe. D’un côté, le mécanisme s’active automatiquement au démarrage. De l’autre, il peut exécuter des instructions reçues du serveur, jusqu’à ouvrir une session root interactive.
En plus, l’absence de mécanismes d’authentification et la possibilité de détourner la communication (y compris via la résolution DNS) compliquent l’atténuation. La meilleure stratégie consiste donc à combiner audit local, filtrage sortant et déploiement rapide de correctifs dès qu’ils sont disponibles.
Conclusion
Les révélations de VulnCheck décrivent une backdoor intégrée aux firmwares de nombreux routeurs Zbtlink, baptisée ENDLESSDOORS. En se déguisant et en démarrant au boot, elle contacte une infrastructure C2 sans authentification, et peut déclencher un shell root interactif via un protocole de contrôle basé sur rctl.
Si vous possédez des appareils concernés, agissez dès maintenant : vérifiez les processus et fichiers signalés, puis réduisez les connexions sortantes vers les destinations identifiées. Le retrait temporaire des firmwares vulnérables et la promesse de correctifs constituent une prochaine étape, mais la protection en amont reste essentielle.
Source: https://thehackernews.com/2026/08/chinese-made-zbtlink-routers-ship-with.html
