Router ZBT con backdoor: cosa sapere e come verificare
La società di sicurezza VulnCheck ha documentato tre componenti incorporati nel firmware di specifici router prodotti da Shenzhen Zhibotong Electronics (ZBT). I componenti consentono differenti forme di controllo remoto con privilegi elevati e utilizzano meccanismi privi di adeguate garanzie di autenticazione e sicurezza. La questione più importante, però, non è il nome del produttore: è che questi router possono essere venduti con marchi differenti, e chi li ha comprati potrebbe non sapere di utilizzare una piattaforma hardware ZBT.
La ricerca è pubblicata direttamente da VulnCheck sul proprio blog. I CVE (CVE-2026-66747, CVE-2026-74232, CVE-2026-74233) sono stati assegnati da VulnCheck come CNA (CVE Numbering Authority). ZBT ha dichiarato che i componenti identificati sarebbero strumenti di supporto post-vendita; VulnCheck contesta questa definizione sul piano tecnico, indicando che il livello di accesso e la mancanza di autenticazione vanno oltre quanto lecito per un tool di assistenza. Non ci sono evidenze pubblicamente disponibili che leghino questi componenti a disposizioni governative specifiche, né è noto se il firmware delle versioni correnti contenga gli stessi impianti documentati nelle versioni testate (2019) o se i firmware più recenti li abbiano rimossi.
In breve
VulnCheck ha documentato tre componenti incorporati nel firmware di specifici modelli di router prodotti da ZBT. Il primo, ENDLESSDOORS (CVE-2026-66747), contatta automaticamente un server di controllo e accetta comandi da remoto. Il secondo, DARKLANTERN (CVE-2026-74233), espone su internet un servizio che, nei firmware analizzati, esegue comandi come root senza autenticazione effettiva. Il terzo, SPEAKINGSTONE (CVE-2026-74232), invia beacon verso l'infrastruttura ZBT e può eseguire comandi, sottrarre credenziali PPPoE, riscrivere le impostazioni DNS e aprire tunnel SSH inversi. Ai CVE associati è attribuito un punteggio critico di 9,3 secondo CVSS v4.0. Numerose versioni osservate risalgono al periodo 2018-2020, ma questo non permette di stabilire automaticamente lo stato dei dispositivi commercializzati oggi. Il problema coinvolge anche la supply chain: piattaforme ZBT vengono distribuite con marchi differenti.
Quando leggi "backdoor nei router cinesi" l'istinto è quello di passare oltre, convinto che il problema riguardi qualcun altro. Il punto che questa ricerca solleva è diverso: il tuo router potrebbe essere stato prodotto da ZBT anche se non porta quel nome. I dispositivi di rete — soprattutto i router LTE e quelli economici per uso professionale — vengono prodotti da pochi grandi produttori e distribuiti con etichette diverse da decine di rivenditori. Questo articolo spiega cosa è stato trovato, quali modelli sono documentati, e come verificare se il dispositivo che usi è tra quelli analizzati.
✍️ Rocco Caiazza — Fondatore di ScelgoIo — Agosto 2026
Cosa ha trovato VulnCheck
La ricerca di VulnCheck è partita da un router Zbtlink AX3000 acquistato per l'analisi. Nell'esaminarne il firmware, i ricercatori hanno trovato un componente che si connette automaticamente a un server esterno e accetta comandi — quello che hanno denominato ENDLESSDOORS. Pubblicata la prima advisory il 5 agosto 2026, VulnCheck ha poi approfondito la catena di fornitura di ZBT acquistando un secondo dispositivo: un router "Deep Orange 3G/4G/LTE" da 88 dollari acquistato tramite un rivenditore statunitense su Amazon. Il dispositivo si è rivelato essere in realtà un ZBT-WE826-T2 commercializzato con un marchio diverso.
Su questo secondo dispositivo i ricercatori hanno trovato altri due componenti: DARKLANTERN e SPEAKINGSTONE. Entrambi sono scritti in Nim, comunicano tramite UDP e vengono avviati dallo stesso binario — un watchdog per la connettività chiamato inetdetect. Il firmware del dispositivo era del 2019, versione più vecchia rispetto a quella che conteneva ENDLESSDOORS, il che indica una presenza stratificata nel tempo e non un'anomalia isolata.
I tre impianti: ENDLESSDOORS, DARKLANTERN, SPEAKINGSTONE
Si avvia al boot con privilegi root e contatta periodicamente un server di controllo esterno ogni 35 secondi. È basato su rctl (remote control linux), un progetto open source abbandonato dal 2015, impacchettato come modulo OpenWrt con il nome librctl.so. La comunicazione con il server di controllo è vulnerabile ad attacchi man-in-the-middle. Trovato in almeno 20 modelli ZBT.
Si chiama internamente infosrvd ed è in ascolto sulla porta UDP 9992, aperta esplicitamente dal firewall verso internet. Una richiesta di soli 19 byte restituisce modello, versione firmware, indirizzo MAC, SSID, IP pubblico e altri metadati del dispositivo. Un secondo tipo di pacchetto permette di inviare una stringa che viene passata direttamente al comando /etc/exec/cmd, eseguita come root. Il controllo di autenticazione è bypassabile: la verifica del checksum usa un salt statico hardcoded, e i filtri MAC vengono azzerati da un campo MAC di tutti zeri. VulnCheck ha rilevato 203 sistemi internet-facing in 22 Paesi che hanno risposto alle probe tra il 18 e il 21 agosto 2026.
Gira come servizio yunmgrd e non aspetta connessioni in ingresso: invia beacon in uscita verso l'infrastruttura ZBT sulla porta UDP 10000, usando un protocollo proprietario denominato "zbtProtocol". Questo lo rende funzionante anche dietro NAT o firewall. Le capacità documentate comprendono: esecuzione di comandi arbitrari, furto di credenziali PPPoE dell'ISP, riscrittura della lista di hijacking DNS, apertura di tunnel SSH inversi. Le comunicazioni in ingresso sono in chiaro. 392 dispositivi hanno contattato spontaneamente il dominio di backup recuperato dal firmware di un sinkhole creato da VulnCheck (rilevamento agosto 2026).
Il problema OEM: il marchio sul router non dice chi l'ha fatto
Il punto più rilevante per un utente comune non è il nome ZBT — è il modo in cui questi dispositivi arrivano sul mercato. ZBT non vende quasi mai con il proprio marchio. Produce hardware di rete che altri distributori acquistano e rivendono con i propri loghi e nomi commerciali. È il modello OEM (Original Equipment Manufacturer), comune in molti settori tecnologici ma particolarmente diffuso nei router LTE economici e nei dispositivi per uso professionale in ambienti remoti.
Il router testato da VulnCheck — il "Deep Orange 3G/4G/LTE" — è un esempio concreto: venduto da un'azienda con sede a New York su Amazon per 88 dollari, portava un marchio che non richiamava in alcun modo ZBT. Solo l'analisi del firmware ha rivelato l'origine. VulnCheck ha tracciato la distribuzione dei prodotti ZBT in Stati Uniti, Canada, Australia, Filippine, Germania e Russia.
Come scrivono i ricercatori: "Il fatto che tu non abbia mai sentito parlare di Shenzhen Zhibotong Electronics non significa che non abbia mai interagito con un loro dispositivo." La catena OEM trasforma un problema che sembra riguardare un produttore specifico in un problema di supply chain molto più ampio.
I modelli documentati nei CVE
I modelli sotto riportati sono quelli esplicitamente elencati nelle advisory CVE e nelle osservazioni pubblicate da VulnCheck. Si tratta di modelli e versioni specifiche: l'inclusione della stessa piattaforma hardware non dimostra, da sola, che ogni firmware personalizzato o dispositivo attuale contenga i componenti analizzati.
| Impianto | Modelli / Marchi | CVE |
|---|---|---|
| ENDLESSDOORS | Almeno 20 modelli Zbtlink, inclusi Z8102AX, WG3526, WE826-T3-DSIM e diversi router cellulari (presente in tutti i build pubblicati per i modelli elencati) | CVE-2026-66747 |
| DARKLANTERN | WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108, WG3526, WE2426-C, WE5926-EC_QP, WF3526-P, CTN720-W1, LF-1541, MT7620N, WRC1 — più modelli non attribuiti a un vendor identificato | CVE-2026-74233 |
| SPEAKINGSTONE | ZBT L3_V2_8, WE826-T2, ZBT-7628, ZBT-ZBT7621; MoreQuick MQAC-7620, MQAC-7620A, MQAP-7620, MQAP-7620A e altri | CVE-2026-74232 |
MoreQuick è indicata nella ricerca come realtà collegata allo sviluppo del firmware, mentre altri nomi possono riferirsi a vendor o piattaforme non attribuite. Questo elenco non è necessariamente esaustivo: VulnCheck ha analizzato dispositivi specifici e ritiene che la base installata storica possa essere stata più ampia.
ScelgoIo Verifica: come controllare il tuo router
Se hai un router LTE, un router da viaggio o un dispositivo per uso professionale in ambienti remoti, vale la pena verificare chi lo ha prodotto. Ecco come farlo.
- Accedi al pannello di amministrazione del router — solitamente all'indirizzo
192.168.1.1o192.168.0.1dal browser, con le credenziali predefinite o quelle che hai impostato. - Cerca la sezione "Informazioni di sistema" o "About" — dovrebbe mostrare il nome del produttore, il modello hardware e la versione del firmware. Annota questi valori.
- Controlla se il firmware menziona ZBT, Zbtlink, Zhibotong o Shenzhen Zhibotong Electronics — potrebbe comparire nelle informazioni di copyright, nella stringa del firmware o nella pagina di aggiornamento.
- Confronta il numero di modello hardware con la lista CVE — i modelli nei CVE (WE826-T2, WE5926, WG3526 ecc.) hanno codici riconoscibili che di solito compaiono nell'interfaccia di amministrazione anche se il marchio esterno è diverso.
- Se il router è connesso direttamente a internet (senza NAT di un operatore), un dispositivo con DARKLANTERN sarebbe raggiungibile dall'esterno sulla porta UDP 9992. Non testare questa porta tu stesso: la segnalazione a VulnCheck o al CERT nazionale è il percorso corretto. Se sospetti di avere un dispositivo affetto, contatta il fornitore o valuta la sostituzione.
Cosa non sappiamo: i limiti delle evidenze
È importante distinguere quello che la ricerca documenta da quello che non ha ancora dimostrato.
- I tre impianti sono presenti nel firmware dei modelli specifici testati
- DARKLANTERN permette esecuzione di comandi senza autenticazione effettiva (nei firmware analizzati)
- SPEAKINGSTONE contatta attivamente server ZBT anche da dietro NAT
- 203 dispositivi con DARKLANTERN hanno risposto alle probe in 22 Paesi (18–21 agosto 2026)
- 392 dispositivi hanno contattato il sinkhole SPEAKINGSTONE (rilevamento agosto 2026)
- Numerose versioni osservate risalgono al periodo 2018-2020
- Se il firmware delle versioni correnti contiene gli stessi componenti
- Se i firmware più recenti di ZBT abbiano rimosso questi componenti
- L'attribuzione: ZBT sostiene siano strumenti di supporto post-vendita; VulnCheck contesta tecnicamente, ma l'intento non è dimostrato
- Se i componenti sono stati sfruttati attivamente da terzi
- Un legame con disposizioni governative specifiche non risulta dalle fonti disponibili
- Quanti e quali modelli distribuiti in Europa/Italia siano effettivamente affetti
- VulnCheck Blog — Chinese Implants in the Supply Chain — analisi tecnica originale di DARKLANTERN e SPEAKINGSTONE con dettagli sul protocollo e la supply chain
- VulnCheck Blog — ENDLESSDOORS Is Phoning Home — prima advisory su ENDLESSDOORS (CVE-2026-66747)
- The Hacker News — ZBT Routers Ship With Two Implants — riepilogo con i CVE e l'elenco dei modelli affetti
- Tom's Hardware — Security researchers find surveillance implants — analisi del problema OEM e della supply chain
- Matrice Digitale — ZBT, scoperti DarkLantern e SpeakingStone — copertura italiana con dettagli tecnici sul sinkhole
Domande frequenti
La notizia sui router ZBT è rilevante non perché sia certezza che "tutti i router cinesi ci spiano", ma perché dimostra qualcosa di più sistematico: il mercato dei dispositivi di rete è pieno di hardware prodotto da soggetti che non conosciamo, venduto con marchi che non richiamano il produttore reale. Sapere chi ha prodotto il router in casa tua è il primo passo. Segui ScelgoIo per restare aggiornato sugli sviluppi di questa vicenda.
E tu: sai chi ha prodotto il router che stai usando adesso? Hai mai controllato il pannello di amministrazione per scoprirlo? Scrivilo nei commenti.
Autore: Rocco Caiazza – Fondatore di ScelgoIo
