I router cinesi Zbtlink escono con backdoor di fabbrica
Alcuni router non vengono violati. Arrivano già aperti. La società di sicurezza VulnCheck ha trovato altre due backdoor di fabbrica in economici router Wi-Fi del produttore cinese Zbtlink, oltre a una già resa nota. La peggiore apre una shell root non autenticata direttamente su internet, e il firewall stesso del router è configurato per far entrare il mondo. Non è un bug da correggere, è un comportamento uscito dalla fabbrica.
Tre impianti, una porta aperta
VulnCheck conta ora tre impianti distinti nel firmware Zbtlink, tutti integrati prima ancora che la scatola raggiungesse uno scaffale:
- DARKLANTERN è quello pericoloso. Gira come servizio chiamato infosrvd, ascolta sulla porta UDP 9992 sul lato internet del router ed esegue comandi senza alcuna password. Il firewall di serie apre di proposito quella porta dall'esterno.
- SPEAKINGSTONE ed ENDLESSDOORS sono impianti che richiamano casa: contattano i server cloud di Zbtlink e attendono comandi da remoto.
- I due nuovi sono scritti in Nim e comunicano via UDP, e la "protezione" attorno alla shell aperta è un checksum che chiunque può falsificare più un filtro MAC con un bypass intenzionale.
Tra il 18 e il 21 agosto VulnCheck ha contato 203 di questi router esposti su internet in 22 paesi, e i dispositivi che hanno risposto hanno dichiarato 16 modelli diversi. È una backdoor a livello di firmware, distribuita su un'intera linea, non una singola unità difettosa.
Perché una backdoor nel router batte la tua VPN
Spesso si presume che una VPN renda irrilevante il router sottostante. Non è così. Il router è lo strato sotto tutto ciò che fai: può dirottare il tuo DNS, bloccare o reindirizzare le connessioni fuori dal tunnel e attaccare direttamente gli altri dispositivi della rete. Se la VPN gira sul router stesso, è del tutto in mano all'attaccante. Un router dirottato è anche il modo in cui i dispositivi di casa diventano in silenzio proxy per i reati altrui, cosa che spieghiamo nella nostra guida su come verificare se il tuo router fa parte di una botnet. Quando l'apparecchio che trasporta il tuo traffico obbedisce a qualcun altro, la cifratura più in alto nello stack fa solo una parte del lavoro.
Cosa fare
- Sappi cosa possiedi. L'hardware Zbtlink è spesso venduto rimarchiato o integrato in altri prodotti, quindi il nome sul contenitore potrebbe non dire Zbtlink. Controlla il modello e, se puoi, se un servizio ascolta sulla UDP 9992.
- Non esporre il pannello admin a internet. Disattiva la gestione remota e, dove puoi, metti un router non fidato dietro un altro firewall invece che rivolto a internet.
- Preferisci produttori che correggono. Una backdoor integrata nel firmware è un problema di fiducia, non di impostazioni. Per un apparecchio così, sostituirlo è spesso più sicuro che sperare in un aggiornamento pulito.
- Tieni aggiornato anche l'hardware di marca. Le falle nei router non riguardano solo i marchi economici: nella stessa settimana anche grandi nomi ne hanno rilasciate di serie, come le falle di livello root nei router TP-Link Archer.
