ZBT: Zwei neue werksseitige Implantate in chinesischen Routern legen Root-Zugriff aus der Ferne offen

Die Entdeckung: Hersteller per MAC identifiziert und zwei neue Implantate

Am 28. August 2026 bestätigte The Hacker News anhand der IEEE-Datenbank der MAC-Präfixe, dass die Blöcke 78:A3:51 und F8:5E:3C zu Shenzhen Zhibotong Electronics gehören, dem chinesischen Unternehmen, das die Router unter der Marke Zbtlink vertreibt. Die Identifizierung ermöglicht es, den Hersteller anhand der MAC-Adresse des Geräts zu ermitteln – ein wichtiges Detail, da viele dieser Geräte als White-Label verkauft werden: Dieselbe Hardware und Firmware gelangt unter verschiedenen Marken auf den Markt, sodass die Modellnummer die einzige zuverlässige Überprüfung darstellt.

Die Bestätigung erfolgt, während VulnCheck zwei zuvor unbekannte werksseitige Implantate in der Firmware der ZBT-Router dokumentiert hat. Die Komponenten mit den Namen SPEAKINGSTONE und DARKLANTERN wurden als CVE-2026-74232 bzw. CVE-2026-74233 erfasst. VulnCheck hat als CVE Numbering Authority beide Kennungen zugewiesen. Die Bewertungen sind hoch: 9,3 in CVSS 4.0 und 9,8 in CVSS 3.1 für beide, mit Vektoren, die einen Netzwerkangriff, keine erforderlichen Berechtigungen und keine Benutzerinteraktion vorsehen.

Keine Advisory weist auf eine korrigierte Firmware-Version hin. Die beiden Implantate kommen zu ENDLESSDOORS (CVE-2026-66747) hinzu, einer dritten bösartigen Komponente, die von VulnCheck am 5. August offengelegt und in mindestens 20 Router-Modellen von Zbtlink gefunden wurde.

SPEAKINGSTONE: Ein Überwachungs-Beacon mit Remote-Root-Zugriff

SPEAKINGSTONE ist ein Dienst, der unter dem Namen yunmgrd läuft. Er sendet ausgehende Beacons über UDP/10000 an einen hartcodierten Command-and-Control-Server: Die primäre Domain ist www.ac-link[.]com, die am 28. August noch auf die IP-Adresse 47.107.224[.]89 auflöste, einen Alibaba-Cloud-Server in Shenzhen. Das Protokoll unterstützt Nachrichtentypen, die es einem entfernten Angreifer ermöglichen, beliebige Befehle als Root auszuführen, die PPPoE-Zugangsdaten der WAN-Seite zu exfiltrieren, eine DNS-Hijacking-Liste zu schreiben und zu lesen sowie einen umgekehrten SSH-Tunnel zu öffnen.

Da der Datenverkehr ausgehend ist, funktioniert er auch hinter NAT und üblichen Egress-Filtern, was das Implantat schwer zu blockieren macht. Es gibt außerdem einen hartcodierten Backup-C2, www.findmyipaddr[.]com, den VulnCheck registriert hat, weil die Domain nicht registriert war. Der Backup-Server führt eine reverse-engineerte Implementierung des Protokolls aus.

Vom Zeitpunkt der Aktivierung des Sinkholes bis zum 21. August haben sich 392 eindeutige Geräte mit dem Backup verbunden. Davon befanden sich 390 in China und 83 % waren im China-Mobile-Netz; 304 sendeten eine SSID mit dem Präfix CMCC und 363 gaben als Modell L3_V2_8 mit Firmware 3.0.0.4.528 an. VulnCheck weist darauf hin, dass das Backup nur dann erreicht wird, wenn der primäre C2 nie konfiguriert wurde; daher ist 392 eine Untergrenze und repräsentiert nicht die Gesamtzahl der betroffenen Geräte.

DARKLANTERN: Command Injection auf einer ins Internet offenen UDP-Port

DARKLANTERN ist ein Dienst, der unter dem Namen infosrvd auf UDP/9992 lauscht. Die werkseitige Firewall des Routers öffnet diesen Port für eingehende Verbindungen von jeder beliebigen Internet-Adresse, wodurch der Dienst direkt dem Netz ausgesetzt wird. Die Authentifizierung ist wirkungslos: Sie basiert auf einem hartcodierten Salt und einem Wildcard-MAC-Wert aus lauter Nullen, der die Adressprüfung umgeht.

VulnCheck beschreibt die Schwachstelle als Command Injection. Ein nicht authentifizierter entfernter Angreifer kann sie ausnutzen, um Befehle als Root auszuführen. Zwischen dem 18. und 21. August identifizierte VulnCheck 203 internet-exponierte DARKLANTERN-Instanzen in 22 Ländern, mit 16 unterschiedlichen selbstdeklarierten Modellen. Die Zahl umfasst die Hosts, die auf die Sonde geantwortet haben, nicht bereits kompromittierte Geräte.

Die Antworten von DARKLANTERN laufen über UDP/8897, aber eine von VulnCheck veröffentlichte Suricata-Regel verwendet Port 8898. Die Diskrepanz ist bekannt: Der zugehörige Text und der Scanner verwenden 8897, während die Alert-Regel auf 8898 matcht.

Der Präzedenzfall ENDLESSDOORS und die betroffenen Modelle

ENDLESSDOORS (CVE-2026-66747) wurde am 5. August offengelegt. Die offizielle NVD-Seite weist einen CVSS v3 von 9,8 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H und der Klasse CWE-506 (eingebetteter bösartiger Code) aus. Laut der Seite ist es in jedem veröffentlichten Build der Produktlinie enthalten. Die Komponente ist das Open-Source-Tool ycsunjane/rctl, kompiliert als OpenWrt-Paket librctl.so, wird beim Start ausgeführt und läuft als Root mit dem Prozessnamen kworker, um sich mit den Kernel-Threads [kworker/*] zu tarnen. Sie öffnet keine lauschenden Ports: Sie stellt ausgehende Klartext-TCP-Verbindungen zu einem hartcodierten C2 her, auf Port 7000 für Befehle und 7001 für die interaktive Shell, ohne Authentifizierung oder Verschlüsselung, und wiederholt den Kontakt etwa alle 35 Sekunden.

Die Advisories für die beiden neuen Implantate listen zahlreiche Modelle und Firmware-Builds auf. Für DARKLANTERN sind Zbtlink WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108, WG3526 mit Firmware 19.1101, WE2426-C mit Firmware 19.1112, WE5926-EC_QP mit Firmware 20.0516, WF3526-P mit Firmware 19.051 sowie Modelle nicht identifizierter Anbieter wie CTN720-W1, LF-1541, MT7620N und WRC1 aufgeführt. Für SPEAKINGSTONE erscheinen L3_V2_8 mit Firmware 3.0.0.4.528, WE826-T2 mit Firmware 19.1101, ZBT-7628 und ZBT-ZBT7621 mit Firmware 1.0.x sowie MoreQuick-Modelle (MQAC-7620, MQAC-7620A, MQAP-7620, MQAP-7620A, MQAP-7628) und zahlreiche Modelle nicht identifizierter Anbieter. Die Advisory-Seiten zeigen die Builds als Obergrenzen, während die CVE-Datensätze jede Firmware als exakten Einzel-Build angeben und den Status aller anderen Versionen auf „unbekannt“ setzen. Keine Advisory weist auf eine korrigierte Version hin.

MOFI Network, das eigene Firmware für dieselbe Plattform entwickelt, hat ein von VulnCheck untersuchtes Image, das frei von den drei Implantaten ist.

Was Leser tun können: Gegenmaßnahmen und Indikatoren

Derzeit gibt es kein korrigiertes Firmware-Release für SPEAKINGSTONE und DARKLANTERN. VulnCheck empfiehlt, eingehenden Datenverkehr zu UDP/9992 an der Netzwerkgrenze zu blockieren, um den Listener von DARKLANTERN zu schließen, bis ein Patch verfügbar ist. Für SPEAKINGSTONE wird empfohlen, die C2-Domains sowohl im Egress als auch auf Resolver-Ebene zu blockieren und Alerts zu erzeugen und das LAN des Routers als nicht vertrauenswürdig zu behandeln.

Um zu prüfen, ob ein Gerät von ZBT stammt, können die IEEE-MAC-Präfixe 78:A3:51 und F8:5E:3C verwendet werden. VulnCheck hat Suricata- und YARA-Regeln veröffentlicht; wer sie nutzt, muss die Diskrepanz beim Antwort-Port von DARKLANTERN berücksichtigen (8897 im Scanner, 8898 in der Regel).

Die veröffentlichten Kompromittierungsindikatoren umfassen die Domains www.ac-link[.]com und www.findmyipaddr[.]com, die IP 47.107.224[.]89, die Ports UDP/9992, UDP/8897 (oder 8898) und UDP/10000. Die beteiligten Dienste sind infosrvd, yunmgrd und inetdetect; die relevanten Pfade sind /etc/exec/cmd, /tmp/info.txt und /tmp/yunclient.conf. Die SHA-256-Hashes der Binärdateien sind b77811db4d218c65670a6c9a5b33c30ff81c6d779e15d658643138771178a818 für yunmgrd, 7e2e036fec2fe7ab4bbd43978d9296563894c92a112f5ac2f39957f12108e245 für infosrvd und ae6c356f1f09260b859f84d994ef8423540a6c0bdf98510d86b85834283e4926 für inetdetect.

Kataloge und Reaktion des Anbieters

Der Katalog CISA Known Exploited Vulnerabilities in der Version 2026.08.27, überprüft am 28. August, enthält keinen der drei ZBT-bezogenen CVEs. Die KEV-Seite von CISA listet insgesamt 1685 Einträge, aber kein Eintrag betrifft Zbtlink oder Shenzhen Zhibotong Electronics. Folglich ist für diese spezifischen CVEs keine Remediation-Frist für US-Bundesbehörden vorgesehen.

Anders verhält es sich mit dem Katalog von VulnCheck, der CVE-2026-74233 in sein eigenes Known Exploited Vulnerabilities aufgenommen hat. Die von VulnCheck veröffentlichten Kriterien verlangen, dass eine Schwachstelle „öffentlich als in freier Wildbahn ausgenutzt gemeldet“ wurde. Das CISA-Projekt Vulnrichment, das am 27. August für denselben CVE registriert wurde, bewertet die Ausnutzung hingegen als Proof-of-Concept: Die Dokumentation der Behörde definiert diesen Status als das Vorhandensein eines öffentlichen PoC zum Zeitpunkt der Analyse.

Zbtlink hat sich nur zu ENDLESSDOORS geäußert. In einer Notiz auf der Website und über einen Sprecher am 6. August erklärte das Unternehmen, dass die Komponente ausschließlich als technisches Support-Werkzeug nach dem Verkauf diene, nur auf ausdrücklichen Wunsch und mit Genehmigung des Kunden verwendet werde, „niemals für unbefugte Zugriffe genutzt wurde“ und im Allgemeinen nur auf Mustergeräten für die Software-Fehlerbehebung vorhanden sei. Es gibt keine öffentlichen Aussagen zu yunmgrd oder infosrvd.

Am 28. August waren die Firmware-Download-Seiten von Zbtlink aktiv und stellten acht Images mit Datum 17. August bereit, darunter Builds für WE826-T2 und WE2426-C, beide Modelle, die in den neuen Advisories genannt werden. The Hacker News hat Zbtlink kontaktiert, um zu erfahren, ob die aktuelle Firmware die beiden Komponenten noch enthält, und VulnCheck wegen der der Katalogisierung zugrunde liegenden Beweise: Zum Zeitpunkt der Veröffentlichung liegen keine Antworten vor.