Furnizorii de echipamente de rețea trebuie să fie atenți la anumite modele de routere produse de compania chineză Shenzhen Zhibotong Electronics, cunoscută și sub denumirea Zbtlink sau ZBT. Aceste dispozitive conțin componente vulnerabile care pot permite controlul lor de la distanță fără parolă, indiferent de marca sub care sunt comercializate. Problema afectează utilizatori din întreaga lume, inclusiv cei din România, cu condiția să fi achiziționat modelele respective.
Identificarea vulnerabilităților în firmware
Compania de securitate VulnCheck a identificat, în firmware-ul routerelor, două componente denumite DarkLantern și SpeakingStone. Acestea fac posibilă execuția de comenzi cu privilegii „root”, adică nivelul cel mai înalt de acces asupra sistemului device-ului.
DarkLantern operează printr-un port UDP 9992, folosind o metodă de verificare a securității care poate fi ocolită. Un atacator poate exploata această vulnerabilitate utilizând o valoare codificată în firmware și o adresă MAC formată doar din zerouri, fără necesitatea cunoașterii parolei de administrare.
SpeakingStone are funcționarea inversă: routerul stabilește conexiune cu un server extern și așteaptă comenzi. Această componentă poate menține comunicarea, chiar dacă dispozitivul se află în spatele unui firewall sau al unui sistem NAT utilizat de furnizorii de internet. Acest mod de operare permite controlul dispozitivului de la distanță în mod discret.
Raportul tehnic al VulnCheck indică faptul că, exploatând aceste vulnerabilități, un atacator poate extrage datele conexiunii PPPoE, modifica setările DNS, deschide un tunel SSH sau executa comenzi arbitrare pe router. Cele două vulnerabilități au fost evaluate cu scoruri de gravitate între 9,3 și 9,8 din 10.
Modele și măsuri pentru utilizatori
Identificarea vulnerabilităților nu se realizează doar după numele de pe carcasă. Routerele produse de ZBT sunt redistribuite sub mai multe mărci, printre care MoreQuick, Deep Orange, WiFlyer, MOFI, Wave Wi-Fi MBR, OneX RV WiFi Route, Lippert și Cioswi.
Printre modelele cu risc se află ZBT-WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108, WG3526, WE2426-C și WE5926-EC_QP. Lista include și modelele WF3526-P, CTN720-W1, LF-1541, MT7620N și WRC1.
Utilizatorii trebuie să verifice modelul exact, versiunea hardware și firmware-ul din interfața de administrare sau de pe eticheta de pe spatele dispozitivului. Numele de pe carcasă nu garantează dacă un router este vulnerabil sau nu, iar lipsa unei denumiri asociate nu exclude posibilitatea ca dispozitivul să fie de la ZBT.
Dispozitivele compromise pot fi exploatate de către răufăcători pentru a obține control total asupra rețelei, chiar dacă acestea sunt utilizate în România sau în alte țări. Verificarea modelelor și actualizarea firmware-ului, dacă sunt disponibile, rămân cele mai eficiente măsuri de protecție.
