Pesquisadores de cibersegurança divulgaram detalhes de um "backdoor de fábrica" inserido em pelo menos 20 modelos de roteadores chineses da Zbtlink.
Segundo um novo relatório da VulnCheck, o implant aparece em todas as 21 imagens de firmware atualmente disponíveis da Zbtlink, abrangendo mais de 2 anos.
Os backdoors foram projetados para iniciar automaticamente e tentar se conectar à infraestrutura de comando e controle C2 na China, em intervalos de até 35 segundos.
Eles se disfarçam como uma thread do kernel Linux, mas na verdade são processos em espaço de usuário executados com privilégios de root, enquanto misturam sua função real com outros processos legítimos kworker.
Os implants de "telefonar para casa" receberam o codinome ENDLESSDOORS.
"ENDLESSDOORS, em sua essência, é uma pequena ferramenta chamada rctl (remote control linux)", afirmou Jacob Baines, diretor de tecnologia da VulnCheck.
"Enviada ao GitHub em 14 de janeiro de 2015 e nunca mais alterada, esse repositório obscuro implementa um cliente e um servidor simples de comando e controle."
"O servidor escuta na porta 7000 para a conexão dos clientes.
Ele pode enviar comandos shell individuais ao cliente ou instruí-lo a abrir uma shell bash reversa."
O processo de trabalho "kworker" executado no Zbtlink AX3000, analisado pela VulnCheck, é uma versão personalizada do rctl configurada para contatar os seguintes endereços:
47.107.224[.]89
rbdg4nzqadui[.]wikaba[.]com
Além disso, não há handshake, negociação nem autenticação envolvidos.
Assim que o implant envia uma mensagem "hello" ao servidor junto com o endereço MAC da rede local, ele foi projetado para executar tudo o que o servidor responder.
"Uma string reservada, rctlbash, informa ao implant para abrir uma segunda conexão na porta 7001, alocar um pseudo-terminal, iniciar /bin/sh e fazer a ponte", explicou Baines.
"Isso é uma shell interativa de root em tempo real."
"O vocabulário desse protocolo se resume a duas frases: execute isto como root e me dê uma shell de root.
Qualquer pessoa ao longo do caminho de rede pode sequestrar a comunicação entre cliente e servidor.
Qualquer um que controle a resolução de rbdg4nzqadui[.]wikaba[.]com, ou o endereço para o qual ele aponta, pode controlar qualquer implant ENDLESSDOORS que tentar telefonar para casa."
Um invasor pode explorar essa falha para sequestrar as comunicações de saída do rctl e obter uma shell de root em tempo real, assumindo o controle do roteador sem precisar estar acessível pela internet.
A VulnCheck observou que todos os firmwares listados na página de downloads do site zbtlink.com incorporam o implant rctl e o iniciam na inicialização por meio de um script init.d chamado "skworker".
A lista de modelos afetados é a seguinte:
CPE2801
WE1026-5G-WD
WE1326
WE2007
WE2008-DSIM
WE2416
WE3326
WE5927
WE5931
WE5931AC
WE826-T3-DSIM
WG108
WG1602
WG1608-DSIM
WG209
WG2105
WG2107
WG259
WG3526
Z8102AX-2DSIM
Cada um desses modelos foi identificado como estando em contato com o mesmo conjunto de quatro endpoints primários e secundários:
zbtctl.epplink[.]net (47.100.190[.]96)
47.107.224[.]89
online-string[.]com (45.32.81[.]152)
rbdg4nzqadui.wikaba[.]com (43.248.136.125)
Até o momento da publicação, usuários que acessam a página de downloads de firmware no site da Zbtlink veem a mensagem abaixo:
Detectamos vulnerabilidades de segurança em firmware que afetam versões selecionadas de firmware de roteadores.
Como medida de precaução, as versões de firmware impactadas foram temporariamente removidas dos canais de download.
Nossa equipe de engenharia está trabalhando intensamente para desenvolver e validar firmware corrigido e seguro.
Notificaremos você imediatamente assim que o firmware corrigido e validado em segurança estiver disponível para lançamento.
Pedimos desculpas pelo transtorno causado.
Obrigado pela compreensão.
A fabricante chinesa de roteadores foi contatada para comentar o caso, e a reportagem será atualizada se houver resposta.
Enquanto isso, a recomendação aos clientes é verificar a lista de processos, procurar no sistema de arquivos por arquivos como /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg e /etc/init.d/skworker, além de bloquear os pontos de saída.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...