В прошивке китайских роутеров Zbtlink нашли встроенный бэкдор

Сотрудники компании VulnCheck исследовали 20 моделей роутеров Zbtlink и в каждой нашли предустановленный имплант удалённого доступа, способный выполнять произвольные команды с правами root. Вредоносный компонент поставляется с завода и запускается автоматически при каждом включении устройства.

Имплант маскируется под системный процесс, сохраняя root-привилегии. Запускает его собственный init-скрипт производителя. В основе лежит rctl — крошечная утилита удалённого управления Linux.

Встроенная в прошивку Zbtlink версия подключается к внешним серверам по TCP-порту 7000 и отправляет короткое регистрационное сообщение с классификационной строкой устройства и MAC-адресом LAN-интерфейса. Протокол не использует ни аутентификации, ни шифрования, ни проверки сервера, ни ограничений на команды.

Ключевая деталь — роутер сам инициирует соединение наружу. Открытых портов нет, входящие правила не нужны, NAT и типовая фильтрация трафика не мешают. Попытка связаться с управляющим сервером повторяется примерно каждые 35 секунд, отдельный канал 7001 отвечает за интерактивную оболочку.

Тот, кто контролирует C2-домен или маршрут до него, получает полный контроль над устройством.

Уязвимости присвоен идентификатор CVE-2026-66747 с критическим рейтингом 9,3 из 10, а класс проблемы обозначен как CWE-506 — встроенный вредоносный код.

Имплант присутствует во всех 21 доступных на сайте производителя образах прошивки, охватывающих более двух лет выпусков.

Zbtlink открыто предлагает OEM- и ODM-услуги, собирая то же железо и ту же прошивку под чужими брендами, поэтому масштаб атаки может быть больше. Устройства продаются в том числе и на маркетплейсах РФ.

VulnCheck расценивает происходящее как намеренное решение вендора, а не как ошибку в коде.

Если у вас есть данное чудо-устройство, то рекомендую прогуляться с ним до помойки

Территория IT | WINDOWS