Исследователи из компании VulnCheck обнаружили бэкдор ENDLESSDOORS в прошивках как минимум 20 моделей роутеров китайской компании Zbtlink. Вредонос запускается при загрузке системы, регулярно связывается с управляющей инфраструктурой и позволяет без аутентификации выполнять команды с правами root. При этом представители Zbtlink утверждают, что это не бэкдор, а инструмент для сервисного обслуживания. Специалисты изучили все образы прошивок, опубликованные на сайте Zbtlink за последние два года, и в каждом из них был обнаружен один и тот же имплант, который запускается посредством init.d-скрипта skworker и обращается к своим управляющим серверам каждые 35 секунд. ENDLESSDOORS маскируется под поток ядра Linux с именем kworker, однако на самом деле он представляет собой пользовательский процесс, который работает с правами root и маскируется среди других легитимных процессов kworker. По словам специалистов, в основе бэкдора лежит модифицированная версия малоизвестного опенсорсного инструмента rctl (remote control linux), чей исходный код был опубликован на GitHub еще в 2015 году и с тех пор не обновлялся. Серверная часть rctl принимает соединения на порту 7000, а также может отправлять клиенту отдельные шелл-команды или запускать реверс-шелл. В отчете VulnCheck подчеркивается, что никаких проверок, аутентификации или обмена ключами не предусмотрено. После подключения к управляющему серверу роутер передает фиксированное 39-байтовое приветствие и MAC-адрес локального интерфейса, а затем просто выполняет полученные в ответ команды. При этом специальная строка rctlbash может вынудить бэкдор открыть второе соединение на порту 7001, запустить /bin/sh и предоставить удаленным операторам интерактивный root-шелл. «Весь этот протокол сводится к двум командам: "выполни это с правами root" и "дай мне root-шелл". Любой, кто находится на пути следования сетевого трафика, может перехватить обмен данными между клиентом и сервером», — объясняют эксперты. Таким образом, перехватить управление устройством может и злоумышленник: перехватить исходящее соединение, подменить DNS-ответ или получить контроль над одним из доменов или IP-адресов, к которым обычно обращается ENDLESSDOORS. При этом атакующему даже не потребуется подключаться к роутеру извне: устройство само инициирует исходящее соединение. Исследователи зафиксировали четыре основных адреса, к которым обращаются роутеры: zbtctl.epplink[.]net, online-string[.]com, rbdg4nzqadui.wikaba[.]com и 47.107.224[.]89. Среди зараженных ENDLESSDOORS моделей перечислены: - CPE2801; - WE1026-5G-WD; - WE1326; - WE2007; - WE2008-DSIM; - WE2416; - WE3326; - WE5927; - WE5931; - WE5931AC; - WE826-T3-DSIM; - WG108; - WG1602; - WG1608-DSIM; - WG209; - WG2105; - WG2107; - WG259; - WG3526; - Z8102AX-2DSIM. Следует отметить, что в VulnCheck не стали заранее уведомлять производителя об обнаружении ENDLESSDOORS. Технический директор компании Джейкоб Бейнс (Jacob Baines) пояснил, что обнаруженный механизм умышленно внедрен в прошивки роутеров, запускается штатным скриптом и присутствует в десятках образов. Поэтому, по его словам, стандартная процедура координированного раскрытия уязвимостей в этом случае не имела смысла. После публикации исследования VulnCheck представители Zbtlink заявили, что роутеры компании не содержат бэкдор. По их словам, обнаруженный ИБ-специалистами механизм не является вредоносным, а предназначен исключительно для послепродажного сервисного обслуживания устройств и отладки ПО. В компании уверяют, что обычно такая функциональность присутствует только в тестовых образцах оборудования и не попадает на серийные устройства. Также в Zbtlink подчеркнули, что компания занимается OEM- и ODM-производством, и многие ее клиенты устанавливают на устройства собственные прошивки. Роутеры Zbtlink действительно продаются под такими брендами, как ZBT, ZBTWiFi и Wiflyer, и в своем отчете исследователи отмечают, что из-за OEM-модели бэкдор может присутствовать и в устройствах других брендов. В настоящее время компания приостановила продажи всех затронутых моделей, а с сайта Zbtlink убрали возможность скачивания прошивок. Теперь на сайте сообщается, что в некоторых прошивках были выявлены проблемы безопасности, поэтому они временно недоступны, а разработчики уже работают над созданием исправленных версий. В свою очередь специалисты рекомендуют владельцам затронутых маршрутизаторов заменить их другими устройствами или как минимум заблокировать соединения с управляющими адресами, жестко ограничить исходящий трафик и считать локальную сеть устройства недоверенной.