A VulnCheck revelou dois implantes de fábrica até então não documentados em firmwares de roteadores fabricados pela Shenzhen Zhibotong Electronics, ou ZBT. Cada um deles permite que um atacante remoto sem autenticação execute comandos como root nos dispositivos afetados.
Os implantes, chamados SPEAKINGSTONE e DARKLANTERN pela equipe de pesquisa da empresa sobre zero-day, são monitorados como
CVE-2026-74232
e
CVE-2026-74233
.
A VulnCheck, que atribuiu os dois identificadores como Autoridade de Numeração CVE, classificou ambos com 9,3 no CVSS 4.0 e 9,8 no CVSS 3.1. Em ambos os casos, o ataque ocorre pela rede, sem necessidade de privilégios e sem interação do usuário.
O SPEAKINGSTONE, que roda como o serviço yunmgrd, envia beacons pela porta UDP 10.000 para um servidor de command and control (C2) com endereço hardcoded. Como o implante inicia a comunicação de saída, ele funciona mesmo atrás de NAT e de filtragem comum de tráfego de saída.
Seu protocolo aceita tipos de mensagem que executam comandos arbitrários como root, exfiltram o usuário e a senha PPPoE da WAN, gravam e leem uma lista de sequestro de DNS e abrem um túnel SSH reverso.
“Este é um implante de vigilância com acesso root a cada dispositivo em que é executado”, afirmou a VulnCheck em sua pesquisa sobre supply chain.
O DARKLANTERN opera como o serviço infosrvd na porta UDP 9.992, que o firewall padrão do roteador abre para conexões de entrada a partir de qualquer endereço da internet. O comunicado da VulnCheck descreve a autenticação do serviço como ineficaz, baseada em um salt hardcoded e em um valor MAC curinga zerado, o que contorna sua própria verificação de endereço.
Entre 18 e 21 de agosto, a VulnCheck identificou 203 instâncias do DARKLANTERN expostas à internet em 22 países, distribuídas por 16 modelos diferentes informados pelos próprios dispositivos. O número contabiliza hosts que responderam a uma sondagem, e não equipamentos necessariamente comprometidos.
Os dois implantes foram encontrados em um roteador Deep Orange 3G/4G/LTE de US$ 88 comprado de um fornecedor dos Estados Unidos, um equipamento white-label ZBT-WE826-T2 com firmware compilado em 2019. Esse aparelho é anterior ao ENDLESSDOORS, o implante de telefonar para casa que a VulnCheck divulgou em 5 de agosto e encontrou em pelo menos 20 modelos de roteadores Zbtlink.
O comunicado da VulnCheck sobre a injeção de comandos do DARKLANTERN e o aviso sobre o implante SPEAKINGSTONE listam os seguintes modelos e versões de firmware:
CVE-2026-74233
(DARKLANTERN) - Zbtlink WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108 e WG3526 no firmware 19.1101; WE2426-C no 19.1112; WE5926-EC_QP no 20.0516; WF3526-P no 19.051; além de CTN720-W1, LF-1541 e MT7620N no 19.1101 e WRC1 no 20.0622, que o registro CVE lista sob um fornecedor não identificado.
CVE-2026-74232
(SPEAKINGSTONE) - Zbtlink L3_V2_8 no 3.0.0.4.528, WE826-T2 no 19.1101, ZBT-7628 no 1.0.0.2.007 e ZBT-ZBT7621 no 1.0.0.3.001, MoreQuick MQAC-7620, MQAC-7620A, MQAP-7620, MQAP-7620A e MQAP-7628 no 1.0.0.2.000, e AP522 no 1.0.0.2.014, AP7628 e HC5661A no 3.0.0.4.380, APG721B no 19.0809, HK300 no 1.0.0.2.032 e MAP-N10 no 1.0.0.2.044, sob um fornecedor não identificado.
As páginas de aviso mostram essas versões como limites superiores, enquanto os registros CVE tratam cada firmware como uma versão exata e definem o status padrão de qualquer outra versão como desconhecido. Nenhum dos dois comunicados nomeia uma versão fixa de firmware, o que deixa um proprietário de um aparelho fora da lista sem base pública para decidir se a falha se aplica ou não.
O número do modelo, e não a marca, é a verificação mais confiável, porque a ZBT vende o mesmo hardware e o mesmo firmware para revendedores que colocam sua própria marca na carcaça. A base de dados de prefixos MAC registrada pela IEEE confirmou em 28 de agosto que os blocos 78:A3:51 e F8:5E:3C pertencem à Shenzhen Zhibotong Electronics, permitindo identificar o fabricante pelo próprio endereço do dispositivo.
O SPEAKINGSTONE traz um domínio de backup C2 hardcoded, ao qual o implante recorre quando um servidor primário nunca foi configurado, e a VulnCheck descobriu que esse domínio não estava registrado.
A empresa registrou o domínio e colocou no ar um servidor com uma implementação reversa do protocolo. Os beacons começaram a chegar assim que o servidor entrou em operação.
Até 21 de agosto, 392 dispositivos únicos haviam se comunicado, dos quais 390 estavam na China. A VulnCheck informou que 83% estavam na rede da China Mobile, que 304 dos 392 transmitiam SSIDs começando com “CMCC” e que 363 se autodeclaravam como um único modelo, L3_V2_8, rodando o firmware 3.0.0.4.528.
Como um dispositivo só alcança o domínio de backup quando um C2 primário nunca foi configurado, os 392 representam um piso calculado a partir de um subconjunto não representativo, e não uma contagem de dispositivos afetados.
A VulnCheck inclui o
CVE-2026-74233
em seu catálogo próprio de Known Exploited Vulnerabilities, cujo critério publicado exige que a vulnerabilidade tenha sido “relatada publicamente como explorada em ambiente real”.
A seção de Vulnrichment da CISA, registrada para o mesmo CVE em 27 de agosto, classifica a exploração como proof of concept, termo que a documentação da agência define como uma prova de conceito pública existente no momento da análise. Segundo a base Known Exploited Vulnerabilities da CISA, versão 2026.08.27, nenhum dos três CVEs da ZBT constava na lista até 28 de agosto.
A VulnCheck publicou os seguintes indicadores de comprometimento, ou IoCs:
Domínios - www.ac-link[.]com, o C2 primário do SPEAKINGSTONE, e www.findmyipaddr[.]com, o domínio de backup registrado pela VulnCheck
Endereço IP - 47.107.224[.]89, um endereço da Alibaba Cloud em Shenzhen que ainda resolvia para o domínio do C2 primário quando pesquisadores verificaram em 28 de agosto
Portas - UDP/9.992 para entrada no DARKLANTERN, UDP/8.897 para suas respostas e UDP/10.000 para os beacons de saída do SPEAKINGSTONE
Serviços e caminhos - infosrvd, yunmgrd, inetdetect, /etc/exec/cmd, /tmp/info.txt e /tmp/yunclient.conf
Hashes SHA-256 - b77811db4d218c65670a6c9a5b33c30ff81c6d779e15d658643138771178a818 (yunmgrd), 7e2e036fec2fe7ab4bbd43978d9296563894c92a112f5ac2f39957f12108e245 (infosrvd) e ae6c356f1f09260b859f84d994ef8423540a6c0bdf98510d86b85834283e4926 (inetdetect)
A orientação da VulnCheck para o implante anterior foi bloquear e alertar nos endpoints tanto na saída quanto no resolvedor, além de tratar a LAN do roteador como não confiável.
Como o DARKLANTERN escuta na porta UDP 9.992, bloquear o tráfego de entrada nessa porta na borda da rede fecha o listener enquanto uma versão corrigida não é disponibilizada.
A VulnCheck publicou regras Suricata e YARA junto com a pesquisa, incluindo uma delas que alerta para a chegada de saída de comando do DARKLANTERN na porta UDP 8.898, embora o texto de apoio e o scanner usem 8.897.
A Zbtlink tratou do componente anterior ENDLESSDOORS em uma nota publicada em seu site, afirmando que ele serve exclusivamente como ferramenta de suporte técnico pós-venda e apenas mediante solicitação e autorização explícitas do cliente.
“Esse componente nunca foi usado para acesso não autorizado”, disse a empresa.
Um porta-voz da Zbtlink afirmou à portais de notícias em 6 de agosto que o recurso é “destinado exclusivamente” à manutenção pós-venda e não tem qualquer outro propósito.
“Em geral, ele é mantido apenas em unidades de demonstração para ajudar clientes com depuração de software”, acrescentou o porta-voz.
Essa declaração trata apenas do ENDLESSDOORS, e a Zbtlink não publicou nenhuma posição sobre o yunmgrd ou o infosrvd.
Foram constatados em 28 de agosto que as páginas de download de firmware da empresa estavam ativas e disponibilizavam oito imagens datadas de 17 de agosto, entre elas versões para o WE826-T2 e o WE2426-C, ambos citados nos novos comunicados.
A VulnCheck afirmou que os implantes vêm embarcados com firmware da ZBT e apontou a MOFI Network, que desenvolve seu próprio firmware para a mesma plataforma e cuja imagem analisada estava livre dos três implantes.
Portais de segurança contactaram a Zbtlink para comentar se o firmware atual ainda contém os dois componentes e a VulnCheck para obter os elementos que sustentam sua inclusão no catálogo, e atualizará esta reportagem caso haja resposta.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...