(OEM-)China-Router von ZBT mit Backdoors

Was geschehen ist – die Kernmeldung ausführlich

IT-Sicherheitsforscher des Unternehmens VulnCheck haben im Rahmen einer umfassenden Analyse alarmierende Entdeckungen bei Netzwerkgeräten des chinesischen Herstellers Shenzhen Zhibotong Electronics Co., Ltd., kurz ZBT, gemacht. Die Experten untersuchten verschiedene Router-Modelle, die weltweit unter diversen Markennamen als sogenannte OEM-Produkte (Original Equipment Manufacturer) vertrieben werden. Dabei stießen sie auf tief in der Firmware verankerte Backdoor-Funktionen. Diese Hintertüren ermöglichen es unbefugten Dritten, ohne vorherige Authentifizierung vollen Zugriff auf das Betriebssystem der Geräte zu erlangen. Die betroffenen Router sind global im Einsatz und finden sich in zahlreichen Ländern, darunter Deutschland, Australien, Kanada, die Philippinen, Russland und die Vereinigten Staaten. Die Entdeckung wirft ein Schlaglicht auf die Sicherheitsrisiken bei der Verwendung von Hardware, deren Firmware-Integrität nicht ausreichend geprüft wurde. Die Forscher konnten nachweisen, dass die Geräte nicht nur für den regulären Betrieb vorgesehen sind, sondern Funktionen enthalten, die typischerweise Überwachungstechnik zugeordnet werden. Diese Schwachstellen erlauben es Angreifern, Befehle direkt auf dem Root-Level auszuführen, was die Kontrolle über den gesamten Datenverkehr der betroffenen Router ermöglicht. Die Tragweite dieses Vorfalls ist erheblich, da die Geräte unter einer Vielzahl von Labels verkauft werden und somit für Endanwender oft nicht unmittelbar als ZBT-Hardware erkennbar sind.

Die Einzelheiten – Zahlen, Namen und technische Details

Die Untersuchung konzentrierte sich zunächst auf ein Modell, das in den USA unter der Bezeichnung „Deep Orange“ vertrieben wurde und technisch dem ZBT-Modell WE826-T2 entspricht. Durch die Ausnutzung einer Telnet-Sicherheitslücke in der aus dem Jahr 2019 stammenden Firmware verschafften sich die Forscher Root-Zugriff. Dabei identifizierten sie zwei spezifische Implantate: „Speakingstone“ und „Darklantern“. Ersteres kommuniziert über den Prozess „yunmgrd“ mit der ZBT-eigenen Cloud-Infrastruktur unter der Domain „ac-link.com“ auf UDP-Port 10000. Das zweite Implantat, „Darklantern“, agiert als Prozess „infosrvd“ und lauscht auf UDP-Port 9992. Es verarbeitet Befehle, die ohne Authentifizierung übermittelt werden können. Ein weiterer Prozess namens „kworker“ – eine Tarnung für das System „rctl“ (Remote Control Linux) – wurde als „EndlessDoors“ identifiziert. Bei einem Scan Mitte August reagierten weltweit 203 Geräte auf die entsprechenden Pakete, wobei die meisten in den USA, Russland, Taiwan, China und der Ukraine lokalisiert wurden. Eine weitere von VulnCheck registrierte Domain, „www.findmyipaddr.com“, verzeichnete seit dem 21. August 2026 innerhalb kürzester Zeit 392 Anfragen, von denen 363 auf ein spezifisches Modell entfielen, das die Forscher als chinesische Überwachungstechnik einstufen. In Deutschland wurden die Marken „Digineo“ und „Allnet“ als Vertreiber von ZBT-OEM-Hardware identifiziert.

Hintergrund – Vorgeschichte und bisheriger Verlauf

Die Geschichte dieser Sicherheitslücken reicht bis in das Jahr 2019 zurück, aus dem die untersuchte Firmware stammt. ZBT, ein in Shenzhen ansässiger Hersteller, hat sich auf die Produktion von Mobilfunk-Routern spezialisiert, die LTE- und 5G-Technologien unterstützen. Über Jahre hinweg wurden diese Geräte weltweit an verschiedene Distributoren geliefert, die sie unter eigenen Markennamen auf den Markt brachten. Die Sicherheitsforscher von VulnCheck stießen auf die Problematik, als sie ein auf Amazon erworbenes Gerät einer tiefergehenden Analyse unterzogen. Dabei zeigte sich, dass eine Vielzahl der Geräte auf eine in der Firmware fest hinterlegte Domain zugreifen, die jedoch in vielen Fällen nicht mehr aktiv war. Diese „vergessene“ Infrastruktur führte die Forscher auf die Spur der Command-and-Control-Mechanismen. Der Hersteller ZBT rechtfertigte die Existenz dieser Funktionen gegenüber den Sicherheitsforschern als notwendige Werkzeuge für den technischen Support und Aftersales-Service. Die Analyse der Forscher widerspricht dieser Darstellung jedoch fundamental, da Funktionen wie DNS-Hijacking oder das Abgreifen von ISP-Zugangsdaten in keiner Weise mit legitimen Support-Dienstleistungen vereinbar sind. Vielmehr deuten diese Merkmale auf eine gezielte Implementierung von Überwachungs- und Fernzugriffsmechanismen hin, die weit über das notwendige Maß für eine Fernwartung hinausgehen.

Die Beteiligten – Personen und Institutionen

Die Hauptakteure in diesem Szenario sind die IT-Sicherheitsforscher von VulnCheck, die die Schwachstellen aufgedeckt, analysiert und die Ergebnisse in einem detaillierten Blogbeitrag veröffentlicht haben. Auf der Herstellerseite steht die Firma Shenzhen Zhibotong Electronics Co., Ltd., kurz ZBT, die für die Entwicklung der Firmware und die Produktion der Hardware verantwortlich zeichnet. Zu den betroffenen Akteuren gehören zudem die verschiedenen OEM-Partner weltweit, darunter MOFI Networks in Kanada, OneX in Australien sowie die deutschen Unternehmen Digineo und Allnet, die die Router unter ihren eigenen Markennamen in den Handel brachten. ZBT hat im Zuge der Veröffentlichung auf die Vorwürfe reagiert und angekündigt, den Verkauf der betroffenen Router vorerst auszusetzen. Zudem wurde die Bereitstellung der betroffenen Software-Versionen eingestellt, während das Unternehmen an entsprechenden Updates arbeitet. Die Nutzer der Geräte, die unwissentlich Teil dieser Infrastruktur wurden, bilden die Gruppe der Betroffenen. Die Forscher von VulnCheck fungieren hierbei als Aufklärer, die durch die Bereitstellung von Indicators of Compromise (IOC) und technischen Hilfsmitteln wie YARA-Regeln und Python-Skripten versuchen, den Anwendern eine Identifizierung der kompromittierten Systeme zu ermöglichen.

Einordnung – Was das bedeutet

Den Berichten der Sicherheitsforscher zufolge ist die Situation als äußerst kritisch einzustufen. Einzuordnen ist das so: Die Kombination aus einer eingebauten Backdoor, die ohne Authentifizierung Befehle entgegennimmt, und der weiten Verbreitung dieser Geräte stellt ein massives Sicherheitsrisiko dar. Die Tatsache, dass die Geräte unter verschiedenen Markennamen verkauft werden, erschwert es Endanwendern erheblich, die Gefahr zu erkennen. Experten bewerten die Funktionalitäten – etwa das DNS-Hijacking oder das Auslesen von PPPoE-Zugangsdaten – als klare Anzeichen für eine missbräuchliche Überwachungsinfrastruktur. Dass der Hersteller die Funktionen als Support-Tools deklariert, wird von den Sicherheitsforschern als unglaubwürdig zurückgewiesen. Die technische Analyse zeigt, dass die Mechanismen gezielt darauf ausgelegt sind, den Datenverkehr zu manipulieren und die Kontrolle über die Netzwerkhardware zu übernehmen. Einzuordnen ist dies zudem in einen größeren Kontext: Ähnliche Vorfälle bei anderen Herstellern, etwa bei Juniper-Routern Anfang 2025, zeigen, dass Backdoors in Netzwerkhardware ein systemisches Problem darstellen können. Die Forscher warnen eindringlich vor der Nutzung der betroffenen Geräte, da Angreifer die Schwachstellen und Backdoors ohne großen Aufwand ausnutzen können, um in private oder geschäftliche Netzwerke einzudringen.

Offene Fragen – Was der Quelltext nicht beantwortet

Obwohl die Analyse von VulnCheck sehr detailliert ist, bleiben einige Aspekte unbeantwortet. Der Quelltext gibt keine Auskunft darüber, ob und in welchem Umfang die betroffenen OEM-Partner in Deutschland oder anderen Ländern von der Existenz der Backdoors wussten, bevor die Sicherheitsforscher diese öffentlich machten. Ebenso bleibt unklar, ob ZBT bereits vor der Untersuchung von VulnCheck Kenntnis von der Ausnutzung dieser Backdoors durch Dritte hatte oder ob die Infrastruktur ausschließlich vom Hersteller selbst genutzt wurde. Es wird nicht explizit benannt, welche konkreten Schritte die betroffenen Distributoren in Deutschland unternehmen, um ihre Kunden über die Sicherheitsrisiken zu informieren oder Rückrufaktionen zu initiieren. Auch die Frage, wie viele Geräte insgesamt weltweit im Umlauf sind, wird nicht mit einer exakten Zahl beantwortet; die Forscher nennen lediglich die Anzahl der Geräte, die bei ihrem Scan im August auf die Pakete reagiert haben. Zudem bleibt offen, ob die angekündigten Updates von ZBT die Sicherheitslücken vollständig schließen können oder ob die Architektur der Firmware grundlegende Mängel aufweist, die eine dauerhafte Absicherung unmöglich machen.

Wie es weitergeht – Angekündigte Schritte und Entscheidungen

Die unmittelbare Konsequenz aus der Veröffentlichung der Sicherheitsanalyse ist der angekündigte Verkaufsstopp für die betroffenen ZBT-Router. Das Unternehmen ZBT hat erklärt, die betroffene Software offline zu nehmen und an Updates zu arbeiten, um die Sicherheitslücken zu schließen. Die Sicherheitsforscher von VulnCheck empfehlen Anwendern dringend, die betroffenen Geräte bis zur Verfügbarkeit sicherer Firmware-Updates außer Betrieb zu nehmen. Die Experten haben zudem eine Liste der betroffenen Modelle sowie technische Indikatoren wie Binary-Hashes und IP-Adressen veröffentlicht, die als Grundlage für eine eigene Prüfung der Netzwerkinfrastruktur dienen können. Es steht nun aus, inwieweit die OEM-Partner, die diese Router unter ihren eigenen Namen vertreiben, die betroffenen Kunden aktiv kontaktieren und über den weiteren Umgang mit der Hardware aufklären. Nutzer sind angehalten, die von den Forschern bereitgestellten Tools, wie das Python-Skript zum Scannen des eigenen Netzwerks, zu verwenden, um festzustellen, ob sich in ihrem Umfeld kompromittierte Geräte befinden. Die weitere Entwicklung hängt maßgeblich davon ab, wie schnell und effektiv ZBT die versprochenen Updates bereitstellt und ob diese die Backdoors tatsächlich vollständig entfernen.