Investigadores de seguridad encontraron tres implantes de tipo puerta trasera escondidos en el firmware de routers fabricados por Shenzhen Zhibotong Electronics, más conocida como ZBT. Ese hardware se vende en todo el mundo bajo una cantidad desconcertante de marcas, así que es perfectamente posible estar usando un router ZBT sin saberlo.
La investigación, publicada por la firma de seguridad VulnCheck, comenzó con un router Zbtlink AX3000. Los investigadores descubrieron que su firmware contenía un implante al que bautizaron ENDLESSDOORS, porque se comunica automáticamente con un servidor de comando y control y puede ejecutar comandos arbitrarios como root.
¿Qué hace exactamente ENDLESSDOORS?
ENDLESSDOORS es, en esencia, un sistema de control remoto incrustado directamente en el firmware del router. Arranca de forma automática al encender el equipo y se disfraza de proceso normal del kernel de Linux, con el nombre kworker. El router se conecta periódicamente a un servidor codificado en el propio firmware y se anuncia. No hay autenticación ni cifrado que valgan la pena. Los comandos recibidos desde el servidor se pasan directamente a un intérprete de comandos que corre como root, y el implante también puede establecer una consola root interactiva.
VulnCheck demostró el problema suplantando al servidor de comando y tomando el control de su propio router de pruebas. Dicho de otra forma, no se trata de una vulnerabilidad meramente teórica: si un atacante logra secuestrar la conexión con el servidor de control del implante, puede obtener el control completo del router.
Los investigadores encontraron ENDLESSDOORS incrustado en el firmware de 20 modelos ZBT, entre ellos el Z8102AX, el WG3526, el WE826-T3-DSIM y varios otros routers celulares. El mismo hardware se vende además bajo otros nombres, porque ZBT fabrica routers para clientes OEM y ODM. VulnCheck asignó al problema el identificador CVE-2026-66747, con un puntaje CVSS de 9,3, pero la investigación no terminó ahí.
Un router de 88 dólares con otros dos implantes
VulnCheck compró después un router celular Deep Orange de 88 dólares a un vendedor estadounidense en Amazon y descubrió que en realidad era un ZBT-WE826-T2 con marca blanca. Su firmware de 2019 era demasiado antiguo para contener ENDLESSDOORS, pero en su lugar traía otros dos implantes, que la firma designó DARKLANTERN y SPEAKINGSTONE.
DARKLANTERN es el más directo de los dos. Opera como el servicio infosrvd, abre un puerto de escucha en la WAN por el puerto UDP 9992 y acepta comandos directamente desde internet sin autenticación. A un atacante le basta enviar una sonda de identificación de 19 bytes para que el router revele información como su modelo, versión de firmware, dirección MAC y tiempo de actividad.
Los investigadores comprobaron que los escasos mecanismos de seguridad de esta puerta trasera se podían evadir de forma trivial. La suma de verificación de su carga de comandos depende de una sal estática codificada en el binario, "mqonu.com", y su filtro interno de direcciones MAC se elude por completo enviando un campo MAC lleno de ceros. Eso permite que cualquier atacante remoto falsifique un paquete y ejecute comandos arbitrarios como root. VulnCheck rastreó internet y encontró 203 instancias de DARKLANTERN expuestas en 22 países, repartidas en 16 modelos de router.
¿Por qué SPEAKINGSTONE es el más preocupante?
SPEAKINGSTONE funciona distinto y es todavía más inquietante. En lugar de esperar a que un atacante se conecte a un puerto en escucha, corre como el servicio yunmgrd y emite balizas periódicas hacia la infraestructura de comando y control de ZBT por el puerto UDP 10000. Eso lo vuelve útil incluso cuando el router está protegido detrás de un NAT o un cortafuegos, ya que usa un formato propio llamado "zbtProtocol" para enviar huellas completas del dispositivo al servidor remoto.
SPEAKINGSTONE también es bastante más capaz que un simple acceso remoto. Según VulnCheck, su protocolo de comandos permite a operadores remotos ejecutar comandos arbitrarios, robar credenciales PPPoE de la conexión WAN, reescribir una lista de secuestro de DNS y establecer un túnel SSH inverso.
Los investigadores descubrieron además un dominio de respaldo para el servidor de comando incrustado en el software malicioso que nadie había registrado, así que lo registraron ellos mismos. VulnCheck montó un servidor capaz de hablar el protocolo de SPEAKINGSTONE en el recién registrado "www.findmyipaddr.com" y observó cómo los routers infectados empezaban a llamar a casa.
Al 21 de agosto, 392 equipos únicos se habían conectado a ese sumidero. De esos 392, nada menos que 390 estaban en China, y la enorme mayoría usaba la red de China Mobile. Casi todos eran el mismo modelo de router corriendo el mismo firmware, lo que sugiere un despliegue masivo de operador antes que infecciones aleatorias de consumidores. VulnCheck describe este despliegue en particular como "tecnología de vigilancia doméstica china".
¿Qué marcas están involucradas?
Eso no significa que todo router ZBT sea un dispositivo de vigilancia chino. VulnCheck encontró hardware de ZBT vendido bajo numerosas marcas independientes en el mundo, incluidas Lippert Components, Wave WiFi, OneX en Australia, MoFI Network en Canadá y Digineo en Alemania, entre otras. La firma señala explícitamente que parte del firmware que examinó no contenía los implantes.
El problema es que el negocio OEM de ZBT vuelve sorprendentemente difícil identificar el origen del hardware. Las mismas plataformas subyacentes han aparecido bajo marcas como WiFlyer, Deep Orange, Cioswi, CroSkylink y KuWFi, entre otras.
Conviene entender de qué familia de equipos hablamos. Son routers celulares y de viaje de bajo costo, construidos casi siempre sobre plataformas MediaTek con derivados de OpenWrt, el tipo de caja que se compra por marketplace para dar conexión en una casa rodante, una faena remota o un arriendo temporal. En Chile y el resto de la región llegan por los mismos canales de importación directa, con marcas que rara vez tienen servicio técnico local ni un canal donde reportar una vulnerabilidad.
Lo que distingue a esto de una vulnerabilidad común
Lo verdaderamente inquietante no es que VulnCheck haya encontrado tres vulnerabilidades en un router poco conocido. Es que no son vulnerabilidades convencionales, del tipo en que alguien olvidó accidentalmente verificar los límites de un búfer. Son piezas de software incluidas deliberadamente en el firmware del router que entregan acceso remoto al equipo.
Normalmente a eso lo llamaríamos software malicioso, pero ZBT ha descrito a ENDLESSDOORS como un mecanismo de soporte técnico posventa.
El contraargumento de VulnCheck es bastante convincente: sea cual sea su propósito, los mecanismos no autentican de forma segura a quien los controla. Un atacante que logre secuestrar las comunicaciones puede llegar a ejercer los mismos privilegios y, como el hardware de ZBT se vende con frecuencia bajo otras marcas, simplemente no comprar algo que diga "ZBT" en la caja no basta.
Si usted tiene alguno de los dispositivos afectados, cuya lista está disponible en las entradas de blog de VulnCheck sobre las vulnerabilidades, la única solución real es reemplazarlo, porque los agujeros de seguridad se instalaron en la fábrica. No es que instalar otra versión del firmware vaya a restituir la confianza.
Aunque su equipo no aparezca en la lista, si usa un router celular barato, un router de viaje, un router para casa rodante u otro equipo de red de un fabricante poco conocido, conviene tener presente que la marca impresa en el plástico probablemente no sea la empresa que escribió el firmware, y que quien escribió ese firmware puede no compartir sus valores en materia de libertad o privacidad.
