LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine werkseitige Hintertür in mindestens 20 Zbtlink-Routermodellen. Die Malware startet beim Boot über ein Init.d-Skript und versucht in Abständen von bis zu 35 Sekunden zu einer chinesischen Command-and-Control-Infrastruktur „zu telefonieren“. Laut Analyse öffnet das System bei fehlender Authentifizierung eine interaktive Root-Shell, sobald der Gegenserver entsprechende Anweisungen sendet. Betroffene Firmware-Images sollen in mehreren Versionen über mehr als zwei Jahre hinweg enthalten sein.
In der Router-Landschaft wirkt ein eher unscheinbarer Detailfehler oft am schwersten: fehlende Authentifizierung an einer Stelle, die nie für „öffentliche“ Netzpfade gedacht war. Genau dort setzt die aktuelle Analyse zur Hintertür „ENDLESSDOORS“ an, die auf mindestens 20 Zbtlink-Routermodellen gefunden wurde. Laut dem Bericht kommt der Implant bereits im Auslieferungszustand vor und lässt sich so einordnen, dass er nicht erst durch spätere, betriebsspezifische Manipulation entsteht, sondern als Teil der Firmware-Images mitkommt.
Technisch basiert ENDLESSDOORS auf einem kleinen Tool namens „rctl“ (remote control linux). Die Forscher ordnen es als Client-Server-Kommunikation ein, bei der der Server auf Port 7000 lauscht und den Client entweder einzelne Shell-Kommandos ausführen lässt oder den Start einer Reverse-Bash-Shell anstößt. Auffällig ist dabei die Machart: Die Kommunikation soll keine Begrüßung, Aushandlung oder Authentifizierung enthalten. Stattdessen genügt dem Implant offenbar eine „hello“-Nachricht zusammen mit der LAN-MAC-Adresse als Initialisierung, woraufhin der Server jede weitere Anweisung direkt an den Root-Kontext zurücksenden kann.
Der Implant wird zudem so verschleiert, dass er als „Linux kernel thread“ getarnt wirkt. Laut Analyse handelt es sich jedoch um Userland-Prozesse, die mit Root-Rechten laufen und dabei ihre eigentliche Funktion mit anderen legitimen „kworker“-Prozessen verwebt haben. In einer beobachteten Konfiguration, die auf einem Zbtlink AX3000-Modell untersucht wurde, handelt es sich demnach um eine angepasste Version von rctl, die so konfiguriert ist, dass sie zu mehreren festen Endpunkten Kontakt aufnimmt. Dazu zählen neben einer IP-basieren Adresse auch Domain-Ziele; besonders kritisch ist das Szenario, in dem ein Angreifer die Namensauflösung oder den Zielhost kontrolliert, weil dann jede installierte Instanz die vom Angreifer gesteuerten Antworten akzeptiert.
Für die eigentliche Ausnutzung ist entscheidend, dass eine zweite „Reserved“-Zeichenfolge (genannt wird „rctlbash“) den Implant veranlasst, eine weitere Verbindung aufzubauen, ein Pseudo-Terminal zu allozieren und anschließend /bin/sh zu starten. Das Ergebnis wird als „live interactive root shell“ beschrieben. Dadurch reicht es bereits, den ausgehenden Traffic zu kapern oder zumindest die Antworten des Gegenservers zu manipulieren, ohne dass der Angreifer von außen direkt erreichbar sein muss. VulnCheck hebt in der Analyse außerdem hervor, dass das Protokoll im Kern auf zwei Phrasen reduziert werden kann: „this as root ausführen“ und „gib mir die Root-Shell“.
Der Bericht nennt als Startpunkt der Persistenz einen Init.d-Eintrag, der den rctl-ähnlichen Implant-Prozess beim Boot automatisiert, und führt dazu ein Skript namens „skworker“ an. Bei der Einordnung der Reichweite fällt zusätzlich die Firmware-Abdeckung ins Gewicht: Alle aktuell verfügbaren Zbtlink-Firmware-Images, die nach Angaben im Bericht mehr als zwei Jahre umfassen, sollen den Implant in sich tragen. Unter den aufgeführten Modellen befinden sich unter anderem mehrere WE- und WG-Serien wie WE1326, WE2007, WE2416, WG209, WG2107, WG3526 sowie Z8102AX-2DSIM; außerdem werden konkrete Endpunkte genannt, denen die Geräte regelmäßig „beaconen“ sollen.
Für Anwender steht damit weniger eine „Patchen-Und-Fertig“-Aufgabe im Vordergrund, sondern ein kontrolliertes Vorgehen zur Bestandsaufnahme. Der Bericht empfiehlt, im Prozess-Listing nach auffälligen Namensmustern wie /usr/sbin/kworker zu schauen und das Dateisystem gezielt auf Artefakte wie /usr/lib/librctl.so, /etc/kworker.cfg und /etc/init.d/skworker zu durchsuchen. Zusätzlich sollen die relevanten Egress-Ziele blockiert werden, damit das Gerät keine Verbindung mehr zu den Steuerendpunkten aufbauen kann. Wer in einer Unternehmensumgebung arbeitet, sollte dabei die Konsequenzen für Betriebssystem- und Firmware-Integrität ernst nehmen: Selbst bei deaktivierter Fernverwaltung bleibt eine kompromittierte Firmware ein Primär-Risiko, weil sie den Trust-Anker für weitere Sicherheitsmaßnahmen untergräbt.
Auf Herstellerseite wird in der Quelle beschrieben, dass Zbtlink den Download-Zugang für betroffene Firmware vorübergehend ausgesetzt hat und stattdessen gesicherte, validierte Updates ankündigt. Laut der Schilderung sollen die beeinträchtigten Releases vorübergehend vom Download-Kanal genommen worden sein; der Hersteller arbeite intensiv an gepatchten Versionen und will Nutzer zeitnah informieren, sobald sie verfügbar sind. Für die Praxis heißt das: Der Zeitraum bis zur Bereitstellung kann sich verlängern, daher ist eine Zwischenstrategie aus Forensik-Checks, Netzwerkabschottung der betroffenen Egress-Pfade und einem strukturierten Update-Plan sinnvoll, statt blind auf automatische Rollouts zu vertrauen.
Interessant ist zudem, wie wenig komplex die angreifbare Logik nach der Analyse wirkt: Ein Client, der ohne Authentifizierung Befehle entgegennimmt, und ein Server, der Shell-Anweisungen oder einen Reverse-Shell-Start ausliefert. Aus Branchenperspektive passt das zu einem Muster, das bei IoT-Firmware immer wieder auftaucht: „Remote Management“ wird mit minimaler Sicherheitsprüfung implementiert, weil es im Labor oder für einen Entwicklungs-Workflow „funktioniert“, später aber als dauerhafte Angriffsfläche existiert. Für Entscheidungsträger in IT und OT bedeutet das konkret, dass Sicherheitsprozesse bei Router- und Gateway-Lieferketten früher ansetzen müssen – nämlich dort, wo Firmware-Images entstehen und wie sie kryptografisch nachvollziehbar geliefert werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Zbtlink-Router kompromittiert: ENDLESSDOORS öffnet Root-Shells ohne Authentifizierung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Zbtlink-Router kompromittiert: ENDLESSDOORS öffnet Root-Shells ohne Authentifizierung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Zbtlink-Router kompromittiert: ENDLESSDOORS öffnet Root-Shells ohne Authentifizierung« bei Google Deutschland suchen, bei Bing oder Google News!