Das Sicherheitsunternehmen VulnCheck hat einen versteckten Hintertür in mindestens 20 Modellen von Zbtlink-Routern entdeckt, der Angreifern ohne Authentifizierung uneingeschränkten Root-Zugriff ermöglicht.
Der Backdoor namens "ENDLESSDOORS" stellt ein Tool namens rctl (remote control linux) dar, erklärte Jacob Baines, Chief Technology Officer bei VulnCheck. Dieses Tool wurde am 14. Januar 2015 auf GitHub veröffentlicht und seitdem nicht verändert. "ENDLESSDOORS ist im Kern ein kleines Tool namens rctl (remote control linux)", sagte Baines. Der Server lauscht auf Port 7000 auf Verbindungen von Clients und kann einzelne Shell-Befehle senden oder den Client anweisen, eine umgekehrte Bash-Shell zu starten.
Der Prozess tarnt sich als legitimer Linux-Kernel-Thread (kworker), läuft aber tatsächlich als Benutzerprozess mit Root-Rechten. Nachdem der Implant eine "Hallo"-Nachricht an den Server gesendet hat, ist er bereit, alles auszuführen, was der Server zurücksendet. "Ein reservierter String, rctlbash, weist den Implant an, eine zweite Verbindung auf Port 7001 zu öffnen, ein Pseudo-Terminal zu allokieren, /bin/sh zu starten und zu verbinden. Das ist eine lebende interaktive Root-Shell", erläuterte Baines.
"Das Vokabular dieses Protokolls besteht aus zwei Phrasen: Führe dies als Root aus und gib mir eine Root-Shell. Jeder im Netzwerkpfad kann die Client/Server-Kommunikation übernehmen. Jeder, der die Auflösung von rbdg4nzqadui.wikaba[.]com oder die Adresse, auf die sie aufgelöst wird, kontrolliert, kann jeden ENDLESSDOORS-Implant kontrollieren, der versucht, sich zu melden", fügte Baines hinzu. Der Implant startet automatisch beim Systemstart und versucht alle 35 Sekunden, die chinesische C2-Infrastruktur zu kontaktieren.
VulnCheck hat den Implant in allen 21 verfügbaren Firmware-Images von Zbtlink identifiziert, die einen Zeitraum von mehr als zwei Jahren abdecken. Schätzungsweise sind mindestens 100.000 solcher Router weltweit im Einsatz. Jedes der betroffenen Modelle kontaktiert denselben Satz von vier C2-Endpunkten: zbtctl.epplink[.]net (47.100.190[.]96), 47.107.224[.]89, online-string[.]com (45.32.81[.]152) und rbdg4nzqadui.wikaba[.]com (43.248.136[.]125).
Die Liste der betroffenen Modelle umfasst CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526 und Z8102AX-2DSIM.
Zbtlink hat auf seiner Firmware-Download-Seite eine Nachricht veröffentlicht: "Wir haben Sicherheitslücken in der Firmware entdeckt, die ausgewählte Versionen der Router-Firmware betreffen. Als Vorsichtsmaßnahme wurden die betroffenen Firmware-Versionen vorübergehend aus den Download-Kanälen entfernt. Unser Ingenieursteam arbeitet intensiv an der Entwicklung und Validierung einer sicheren gepatchten Firmware. Wir werden Sie umgehend informieren, sobald die reparierte, sicherheitsvalidierte Firmware zur Veröffentlichung verfügbar ist."
Die Entdeckung erfolgt zu einem Zeitpunkt verstärkter Überwachung von Netzwerkausrüstung chinesischer Herkunft in den Vereinigten Staaten. Die US-amerikanische Federal Communications Commission (FCC) hat am 23. März Beschränkungen für die Einfuhr bestimmter ausländischer Router wegen Bedenken hinsichtlich der nationalen Sicherheit erlassen und angeführt, dass böswillige Akteure sie für Spionage und Diebstahl geistigen Eigentums ausgenutzt hätten. Im Februar reichte der Bundesstaat Texas Klage gegen TP-Link Systems ein und behauptete, das Unternehmen habe die Geräte amerikanischer Verbraucher dem Zugriff des chinesischen Regimes ausgesetzt.
"Wenn ich es in meinem Labor habe, in meinem Labor an der Universität, haben Sie sie direkt in Ihr Labor eingeladen und sie können im Netzwerk umherstreifen, wie sie wollen. Die Möglichkeiten sind verheerend", warnte Baines. Obwohl es keine direkte Verbindung zu Kroatien gibt, stellt die weltweite Verbreitung solcher Geräte ein Risiko für Nutzer weltweit dar. VulnCheck empfiehlt Organisationen, betroffene Geräte anhand der Modellnummern zu identifizieren, nicht anhand der Marke, da Zbtlink Router für andere Unternehmen über OEM- und ODM-Verträge herstellt. Es wird empfohlen, Geräte wo möglich zu ersetzen, den Fernzugriff einzuschränken und Sicherheitsupdates zu installieren, sobald sie verfügbar sind.
Benutzern wird geraten, die Prozessliste zu überprüfen, das Dateisystem nach Dateien wie /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg und /etc/init.d/skworker zu durchsuchen und ausgehende Verbindungen zu den genannten C2-Endpunkten zu blockieren.
