Roteadores chineses ZBT são vendidos com implantes que permitem acesso root sem autenticação

Pesquisadores da VulnCheck identificaram dois componentes até então não documentados instalados de fábrica no firmware de roteadores fabricados pela chinesa Shenzhen Zhibotong Electronics (ZBT). Batizados de SPEAKINGSTONE e DARKLANTERN, os implantes podem permitir que atacantes remotos e não autenticados executem comandos com privilégios de root nos dispositivos afetados.

As falhas associadas aos componentes são rastreadas como CVE-2026-74232 e CVE-2026-74233. Ambas receberam pontuação 9,3 no CVSS 4.0 e 9,8 no CVSS 3.1. A exploração pode ocorrer pela rede sem exigir privilégios prévios ou interação do usuário.

O SPEAKINGSTONE, relacionado à CVE-2026-74232, é executado pelo serviço yunmgrd e envia sinais pela porta UDP 10000 para um servidor de comando e controle (C2) configurado no firmware. Como a conexão parte do próprio roteador, o mecanismo pode funcionar mesmo quando o equipamento está atrás de NAT ou de filtros convencionais de tráfego de saída.

O protocolo do implante oferece funções capazes de executar comandos arbitrários como root, extrair usuário e senha PPPoE da conexão WAN, ler e modificar uma lista usada para sequestro de DNS e estabelecer um túnel SSH reverso. A VulnCheck classificou o componente como um implante de vigilância com acesso root aos equipamentos em que está presente.

Já o DARKLANTERN, associado à CVE-2026-74233, opera por meio do serviço infosrvd na porta UDP 9992. O firewall padrão dos roteadores permite conexões de entrada para essa porta a partir de qualquer endereço da internet. Segundo os pesquisadores, o mecanismo de autenticação pode ser contornado devido ao uso de valores incorporados ao código, permitindo a execução remota de comandos.

Entre 18 e 21 de agosto, a VulnCheck encontrou 203 instâncias do DARKLANTERN expostas à internet em 22 países, envolvendo 16 modelos diferentes. O número representa equipamentos que responderam às sondagens dos pesquisadores e não significa que todos tenham sido comprometidos.

Os dois implantes foram encontrados em um roteador Deep Orange 3G/4G/LTE de US$ 88 comprado de um fornecedor nos Estados Unidos. O aparelho era, na realidade, um ZBT-WE826-T2 vendido com outra marca e utilizava firmware produzido em 2019.

A prática de fornecer equipamentos para outras empresas comercializarem com suas próprias marcas torna a identificação dos dispositivos afetados mais complexa. Por isso, o modelo do hardware pode ser um indicador mais confiável do que a marca impressa no equipamento. A investigação cita diversos modelos Zbtlink e dispositivos comercializados por outros fornecedores entre os produtos associados às vulnerabilidades.

A análise também revelou uma infraestrutura interessante ligada ao SPEAKINGSTONE. O implante possui um domínio C2 de backup incorporado ao código para ser utilizado quando um servidor principal não está configurado. Os pesquisadores descobriram que esse domínio estava disponível, registraram o endereço e implementaram um servidor capaz de interpretar o protocolo.

Assim que a infraestrutura entrou em funcionamento, os roteadores começaram a estabelecer conexões. Até 21 de agosto, 392 dispositivos únicos haviam se comunicado com o servidor, sendo 390 localizados na China. Cerca de 83% estavam na rede da China Mobile, e 304 transmitiam nomes de redes Wi-Fi começando com “CMCC”. Outros 363 se identificaram como o modelo L3_V2_8 com firmware 3.0.0.4.528.

Esse número, porém, não representa a quantidade total de equipamentos afetados. O domínio de backup é utilizado apenas quando não existe um C2 principal configurado, portanto os 392 dispositivos correspondem a uma parcela específica da possível base instalada.

A descoberta ocorre poucas semanas depois de a VulnCheck divulgar um terceiro componente nos roteadores ZBT, chamado ENDLESSDOORS e rastreado como CVE-2026-66747. Ele foi encontrado em pelo menos 20 modelos. Na ocasião, a Zbtlink afirmou que o recurso era destinado exclusivamente a suporte técnico pós-venda, mediante solicitação e autorização do cliente, e que não havia sido usado para acessos não autorizados.

Essa explicação, no entanto, refere-se apenas ao ENDLESSDOORS. Até a publicação da investigação, a empresa não havia divulgado uma manifestação pública específica sobre os serviços yunmgrd e infosrvd associados aos novos implantes.