Routery chińskiej firmy mają ukryty backdoor. Producent nagle wyłączył pobieranie firmware

Chiński producent routerów Zbtlink został oskarożny o umieszczenie tylnej furtki w oprogramowaniu routera. Firma zajmująca się analizą zagrożeń wykryła w jego oprogramowaniu komponent, który według badaczy może umożliwiać zdalne wykonywanie poleceń. VulnCheck nadał mu nazwę ENDLESSDOORS i twierdzi, że znaleziony kod pozwala urządzeniom nawiązywać połączenia z serwerami zewnętrznymi.

Zbtlink stanowczo odrzuca określenie „backdoor”. Firma przekonuje, że odkryty mechanizm jest narzędziem przeznaczonym do zdalnej konserwacji i diagnostyki urządzeń. Problem w tym, że niemal w tym samym czasie producent wstrzymał możliwość pobierania części firmware ze swojej strony. Oficjalny komunikat mówi o wykryciu luk bezpieczeństwa w wybranych wersjach oprogramowania.

To właśnie ten zbieg wydarzeń sprawił, że sprawa stała się znacznie poważniejsza.

Badacze znaleźli nietypowy komponent w routerach

Alarm wszczął Jacob Baines, dyrektor technologiczny VulnCheck. Według jego analizy część routerów Zbtlink uruchamia podczas startu systemu niewielki program działający z uprawnieniami administratora. Badacz powiązał go z projektem o nazwie rctl, czyli „remote control linux”. Kod tego narzędzia był dostępny na GitHubie już od 2015 roku. Program został zaprojektowany jako prosty mechanizm komunikacji klient-serwer i może wykonywać polecenia powłoki systemu Linux.

VulnCheck uważa, że podobny mechanizm znalazł się w firmware routerów Zbtlink. Baines nazwał odkryty komponent ENDLESSDOORS. Według niego urządzenia próbują regularnie kontaktować się z serwerami znajdującymi się w internecie, oczekując na dalsze instrukcje. To właśnie możliwość zdalnego sterowania urządzeniem jest najważniejszym elementem całej sprawy.

Router może sam nawiązywać połączenie z internetem

Według VulnCheck znaleziony mechanizm nie zachowuje się jak typowa usługa diagnostyczna uruchamiana wyłącznie na żądanie użytkownika. Baines twierdzi, że komponent działa w tle jako proces systemowy i próbuje połączyć się z określonymi serwerami. Po nawiązaniu połączenia urządzenie wysyła między innymi swój adres MAC oraz informacje pozwalające zidentyfikować klienta. Badacz zwraca uwagę na brak mechanizmu uwierzytelniania, który jego zdaniem powinien chronić tego typu komunikację.

Według analizy VulnCheck połączenie nie wykorzystuje odpowiedniego uzgadniania kluczy ani mechanizmu weryfikującego obie strony. Taki sposób komunikacji może być szczególnie niebezpieczny, jeżeli urządzenie rzeczywiście przyjmuje polecenia z niezaufanego źródła. Baines twierdzi również, że osoba kontrolująca jeden z wykorzystywanych serwerów mogłaby potencjalnie wysyłać polecenia do urządzeń próbujących nawiązać z nim połączenie i dlatego VulnCheck potraktował sprawę jako coś znacznie poważniejszego niż zwykły błąd w oprogramowaniu.

Zbtlink: to nie jest backdoor

Zbtlink przekazał, że kod został błędnie zinterpretowany przez VulnCheck. Firma twierdzi, że wykryty mechanizm służy wyłącznie do obsługi posprzedażowej oraz diagnostyki urządzeń. Według przedstawiciela producenta funkcja miała być wykorzystywana przede wszystkim w egzemplarzach przeznaczonych do testów i ułatwiać klientom debugowanie firmware. Zbtlink przekonuje również, że rozwiązanie nie powinno znajdować się w masowo produkowanych urządzeniach. Problem polega na tym, że VulnCheck twierdzi, iż znalazł ten komponent w firmware dotyczącym ponad 20 modeli routerów. Jeżeli ustalenia badaczy są prawidłowe, skala problemu byłaby znacznie większa niż w przypadku pojedynczego egzemplarza testowego.

„Ta funkcja jest przeznaczona wyłącznie do konserwacji posprzedażowej i nie służy żadnym innym celom” – powiedział przedstawiciel  producenta.

Producent wstrzymał pobieranie firmware

Jeszcze większe pytania pojawiły się po wejściu na stronę pobierania Zbtlink. Zamiast standardowej listy dostępnych wersji firmware pojawił się komunikat informujący o problemach z bezpieczeństwem.

Producent napisał, że wykryto luki w oprogramowaniu dotyczącym wybranych wersji firmware. Z tego powodu część plików została tymczasowo usunięta z kanałów pobierania. Firma poinformowała również, że jej inżynierowie pracują nad zabezpieczonymi wersjami oprogramowania, które mają zostać zweryfikowane przed ponownym udostępnieniem.

Taki komunikat stoi w pewnym napięciu z wcześniejszym stanowiskiem Zbtlink, według którego nie występował problem bezpieczeństwa. Warto jednak zaznaczyć, że sam fakt wycofania firmware nie potwierdza automatycznie istnienia backdoora opisanego przez VulnCheck. Pokazuje natomiast, że producent dostrzegł problem z bezpieczeństwem przynajmniej części oprogramowania.

Jeszcze kilka dni wcześniej tej informacji nie było

Sytuację dodatkowo komplikuje archiwalna wersja strony Zbtlink. Migawka witryny z 31 lipca nie zawierała komunikatu o wycofaniu firmware. Znajdowała się na niej standardowa lista plików przeznaczonych do pobrania. Oznacza to, że komunikat pojawił się już po publicznym ujawnieniu ustaleń VulnCheck.

Nie wiadomo, czy producent wcześniej prowadził własne prace nad problemem, czy reakcja była bezpośrednio związana z publikacją analizy badaczy. W przypadku oprogramowania sprzętowego routerów czas reakcji ma szczególne znaczenie. Router jest bowiem urządzeniem, przez które przechodzi znaczna część ruchu sieciowego użytkownika. Jeżeli zostanie przejęty, atakujący może uzyskać bardzo dogodny punkt dostępu do lokalnej infrastruktury.

Problem może dotyczyć większej liczby urządzeń

Na tym jednak sprawa się nie kończy.

Zbtlink działa również jako dostawca sprzętu OEM i ODM. Firma oferuje klientom możliwość tworzenia własnych wersji urządzeń oraz dostosowywania firmware. Producent przekonuje, że wielu jego klientów korzysta z własnego oprogramowania zamiast domyślnego firmware Zbtlink.

To z jednej strony może ograniczać liczbę urządzeń wykorzystujących problematyczny kod. Z drugiej strony utrudnia ustalenie, ile produktów faktycznie korzystało z danego komponentu.

VulnCheck twierdzi, że sprzęt związany z Zbtlink jest sprzedawany nie tylko pod główną marką. Urządzenia mogą występować również jako ZBT, ZBTWiFi czy Wiflyer. Routery tych marek można znaleźć między innymi na dużych platformach handlowych.

OpenWrt może być alternatywą, ale nie dla każdego

Część urządzeń Zbtlink obsługuje OpenWrt, czyli projekt firmware oparty na otwartym kodzie źródłowym. Firma wcześniej promowała możliwość wykorzystania OpenWrt oraz tworzenia własnych pakietów oprogramowania.

W teorii daje to użytkownikom dodatkową możliwość zabezpieczenia urządzenia poprzez instalację niezależnego firmware. W praktyce wymiana oprogramowania routera wymaga jednak odpowiedniej wiedzy technicznej.

Błędne wgranie firmware może unieruchomić urządzenie. Dlatego osoby bez doświadczenia nie powinny eksperymentować z alternatywnym oprogramowaniem wyłącznie na podstawie doniesień medialnych.

Zalecane odizolowanie podejrzanych urządzeń

VulnCheck nie ograniczył się do opisania problemu. Baines opublikował również reguły wykrywania i blokowania komunikacji z serwerami związanymi z badanym mechanizmem. Przygotowano materiały przeznaczone między innymi dla użytkowników Suricata, Snort i YARA.

Badacz zaleca także, aby właściciele potencjalnie zagrożonych urządzeń ograniczyli ich dostęp do internetu.

W przypadku infrastruktury firmowej szczególnie istotne może być umieszczenie routera w środowisku z restrykcyjnymi zasadami ruchu wychodzącego. VulnCheck sugeruje również traktowanie sieci lokalnej obsługiwanej przez podejrzane urządzenie jako niezaufanej.

Dla zwykłego użytkownika najważniejsza pozostaje natomiast obserwacja komunikatów producenta i dostępność poprawionego firmware.