Los routers chinos Zbtlink llegan con puertas traseras de fábrica
Algunos routers no se hackean. Llegan ya abiertos. La firma de seguridad VulnCheck ha encontrado dos nuevas puertas traseras de fábrica en routers Wi-Fi baratos del fabricante chino Zbtlink, además de una que reveló antes. La peor abre un shell root sin autenticación directamente a internet, y el propio cortafuegos del router está configurado para dejar entrar a todos. No es un fallo que se parchea, es un comportamiento que vino de fábrica.
Tres implantes, una puerta abierta
VulnCheck cuenta ahora tres implantes distintos en el firmware de Zbtlink, todos integrados antes de que la caja llegara a un estante:
- DARKLANTERN es el peligroso. Funciona como un servicio llamado infosrvd, escucha en el puerto UDP 9992 en el lado de internet del router y ejecuta comandos sin contraseña alguna. El cortafuegos de fábrica permite a propósito ese puerto desde fuera.
- SPEAKINGSTONE y ENDLESSDOORS son implantes de retorno: contactan con los propios servidores en la nube de Zbtlink y esperan órdenes remotas.
- Los dos nuevos están escritos en Nim y se comunican por UDP, y la "protección" en torno al shell abierto es una suma de comprobación que cualquiera puede falsificar más un filtro MAC con una omisión intencionada.
Entre el 18 y el 21 de agosto, VulnCheck contó 203 de estos routers expuestos en internet en 22 países, y los dispositivos que respondieron informaron de 16 modelos distintos. Es una puerta trasera a nivel de firmware, distribuida por toda una gama, no una unidad defectuosa.
Por qué una puerta trasera en el router vence a tu VPN
Se suele suponer que una VPN hace irrelevante el router que hay debajo. No es así. El router es la capa bajo todo lo que haces: puede redirigir tu DNS, bloquear o desviar las conexiones que no van por un túnel y atacar directamente los demás dispositivos de la red. Si la VPN corre en el propio router, está por completo en manos del atacante. Un router secuestrado es también cómo los dispositivos domésticos se convierten en silencio en proxies para delitos ajenos, algo que explicamos en nuestra guía sobre cómo comprobar si tu router forma parte de una botnet. Cuando el aparato que transporta tu tráfico obedece a otro, el cifrado más arriba solo llega hasta cierto punto.
Qué hacer
- Sabe qué tienes. El hardware de Zbtlink se vende a menudo con otra marca o integrado en otros productos, así que el nombre de la carcasa puede no decir Zbtlink. Comprueba el modelo y, si puedes, si algo escucha en UDP 9992.
- No expongas la administración a internet. Desactiva la gestión remota y, si puedes, pon un router no fiable detrás de otro cortafuegos en lugar de cara a internet.
- Prefiere fabricantes que arreglan. Una puerta trasera integrada en el firmware es un problema de confianza, no de ajustes. Para un aparato así, sustituirlo suele ser más seguro que esperar una actualización limpia.
- Mantén también al día el equipo de marca. Los fallos de routers no son solo cosa de marcas baratas: esa misma semana grandes nombres publicaron algunos graves, como los fallos de nivel root en routers TP-Link Archer.
