В прошивке китайских роутеров Zbtlink нашли встроенный бэкдор Сотрудники компании VulnCheck
исследовали 20 моделей роутеров Zbtlink и в каждой нашли предустановленный имплант удалённого доступа, способный выполнять произвольные команды с правами root. Вредоносный компонент
поставляется с завода и запускается автоматически при каждом включении устройства.
Имплант маскируется под системный процесс, сохраняя root-привилегии. Запускает его собственный init-скрипт производителя. В основе лежит rctl — крошечная утилита удалённого управления Linux.
Встроенная в прошивку Zbtlink версия подключается к внешним серверам по TCP-порту 7000 и отправляет короткое регистрационное сообщение с классификационной строкой устройства и MAC-адресом LAN-интерфейса. Протокол не использует ни аутентификации, ни шифрования, ни проверки сервера, ни ограничений на команды.
Ключевая деталь —
роутер сам инициирует соединение наружу. Открытых портов нет, входящие правила не нужны, NAT и типовая фильтрация трафика не мешают. Попытка связаться с управляющим сервером повторяется примерно каждые 35 секунд, отдельный канал 7001 отвечает за интерактивную оболочку.
Тот, кто контролирует C2-домен или маршрут до него,
получает полный контроль над устройством. Уязвимости
присвоен идентификатор CVE-2026-66747 с критическим рейтингом 9,3 из 10, а класс проблемы обозначен как CWE-506 — встроенный вредоносный код.
Имплант присутствует во всех 21 доступных на сайте производителя образах прошивки, охватывающих более двух лет выпусков.
Zbtlink открыто предлагает OEM- и ODM-услуги, собирая то же железо и ту же прошивку под чужими брендами, поэтому масштаб атаки может быть больше. Устройства
продаются в том числе и на маркетплейсах РФ.VulnCheck расценивает происходящее как намеренное решение вендора, а не как ошибку в коде.
Если у вас есть данное чудо-устройство, то рекомендую прогуляться с ним до помойки
Территория IT | WINDOWS