Chinesische Zbtlink-Router kommen mit Werks-Backdoors
Manche Router werden nicht gehackt. Sie kommen schon offen an. Die Sicherheitsfirma VulnCheck hat zwei weitere ab Werk eingebaute Backdoors in billigen WLAN-Routern des chinesischen Herstellers Zbtlink gefunden, zusätzlich zu einer, die sie zuvor offenlegte. Die schlimmste öffnet eine unauthentifizierte Root-Shell direkt ins öffentliche Internet, und die eigene Firewall des Routers ist so eingestellt, dass sie die Welt hereinlässt. Das ist kein Fehler zum Patchen, sondern Verhalten, das ab Werk mitgeliefert wurde.
Drei Implantate, eine offene Tür
VulnCheck zählt in der Zbtlink-Firmware nun drei separate Implantate, alle eingebaut, bevor der Karton je ein Regal erreichte:
- DARKLANTERN ist das gefährliche. Es läuft als Dienst namens infosrvd, lauscht auf UDP-Port 9992 auf der Internetseite des Routers und führt Befehle ganz ohne Passwort aus. Die Standard-Firewall lässt diesen Port bewusst von außen zu.
- SPEAKINGSTONE und ENDLESSDOORS sind Phone-home-Implantate: Sie melden sich bei Zbtlinks eigenen Cloud-Servern und warten auf Fernbefehle.
- Die beiden neuen sind in Nim geschrieben und kommunizieren über UDP, und der "Schutz" um die offene Shell ist eine Prüfsumme, die jeder fälschen kann, plus ein MAC-Filter mit absichtlicher Umgehung.
Zwischen dem 18. und 21. August zählte VulnCheck 203 solcher Router offen im Internet in 22 Ländern, und die antwortenden Geräte meldeten 16 verschiedene Modelle. Das ist eine Backdoor auf Firmware-Ebene, ausgeliefert über eine ganze Produktlinie, kein einzelnes fehlerhaftes Gerät.
Warum eine Backdoor im Router Ihr VPN schlägt
Oft wird angenommen, ein VPN mache den Router darunter irrelevant. Tut es nicht. Der Router ist die Schicht unter allem, was Sie tun: Er kann Ihr DNS umleiten, Verbindungen außerhalb eines Tunnels blockieren oder umleiten und die anderen Geräte im Netzwerk direkt angreifen. Läuft das VPN auf dem Router selbst, ist es völlig in der Hand des Angreifers. Ein gekaperter Router ist auch der Weg, wie Heimgeräte still zu Proxys für fremde Straftaten werden, was wir in unserem Beitrag dazu durchgehen, wie Sie prüfen, ob Ihr Router Teil eines Botnetzes ist. Wenn das Gerät, das Ihren Verkehr trägt, jemand anderem gehorcht, hilft Verschlüsselung weiter oben nur begrenzt.
Was zu tun ist
- Wissen Sie, was Sie besitzen. Zbtlink-Hardware wird oft umgelabelt verkauft oder in andere Produkte verbaut, der Name auf dem Gehäuse sagt also vielleicht nicht Zbtlink. Prüfen Sie das Modell und, wenn möglich, ob ein Dienst auf UDP 9992 lauscht.
- Stellen Sie die Admin-Seite nicht ins Internet. Deaktivieren Sie die Fernverwaltung und setzen Sie einen nicht vertrauenswürdigen Router möglichst hinter eine weitere Firewall, statt ihn direkt ins Internet zu stellen.
- Bevorzugen Sie Hersteller, die nachbessern. Eine in die Firmware eingebaute Backdoor ist ein Vertrauensproblem, kein Einstellungsproblem. Bei einem solchen Gerät ist Ersetzen oft sicherer als auf ein sauberes Update zu hoffen.
- Halten Sie auch Markengeräte aktuell. Router-Lücken sind nicht nur ein Billigmarken-Thema: In derselben Woche lieferten auch große Namen schwere aus, etwa die Root-Lücken in TP-Link-Archer-Routern.
