Příběh čínského výrobce síťových zařízení ZBT ještě zdaleka nekončí. Před několika týdny jsme se v Kyberzápisníku #49 věnovali backdooru ENDLESSDOORS, který byl objeven ve firmware řady routerů ZBTlink.
Tehdy se ukázalo, že zařízení obsahovala komponentu schopnou navazovat spojení s externí infrastrukturou a přijímat příkazy s oprávněním root. Nyní se bezpečnostní výzkumníci z VulnCheck k firmware ZBT vrátili a našli něco, co je možná ještě znepokojivější.
V jednom ze starších routerů totiž ENDLESSDOORS vůbec nebyl.
Byly tam ale dva jiné implanty – DARKLANTERN a SPEAKINGSTONE.
A právě jejich analýza ukazuje, že problém nemusí představovat jediný chybný nebo zapomenutý komponent. Může jít o širší problém způsobu, jakým byly některé generace firmware ZBT vytvořeny a distribuovány.
Co jsou DARKLANTERN a SPEAKINGSTONE?
Výzkumníci z VulnCheck analyzovali router Deep Orange 3G/4G/LTE Router, který je ve skutečnosti white-label verzí zařízení ZBT-WE826-T2.
White-label v tomto případě znamená, že hardware vyrábí jeden výrobce, ale na trhu se zařízení prodává pod jinou značkou. Zákazník tak nemusí mít na první pohled vůbec tušení, kdo skutečně vytvořil hardware nebo firmware uvnitř routeru.
Analyzovaný firmware byl sestaven už v roce 2019. Byl tedy starší než firmware, ve kterém VulnCheck později objevil ENDLESSDOORS.
Jenže místo něj obsahoval dva jiné mechanismy:
- DARKLANTERN
- SPEAKINGSTONE
Oba jsou podle VulnCheck napsané v jazyce Nim, komunikují přes UDP a jejich spuštění zajišťuje stejný binární program označovaný jako inetdetect.
Podstatné je, že každý z implantů funguje trochu jinak.
DARKLANTERN: otevřené dveře přímo do routeru
DARKLANTERN je klasický backdoor, který naslouchá na WAN rozhraní routeru.
V analyzovaném zařízení běží jako služba infosrvd a naslouchá na UDP portu 9992.
Ještě horší je konfigurace firewallu.
Firmware totiž tento port explicitně povoluje pro příchozí komunikaci z internetu.
Útočník tedy nemusí nejdříve obejít nějakou komplikovanou autentizaci. Stačí, aby zařízení bylo z internetu dostupné.
Protokol DARKLANTERN je podle VulnCheck jednoduchý, nešifrovaný a neautentizovaný.
Implant podporuje například tzv. info probe, pomocí kterého lze zjistit informace o zařízení, včetně modelu, verze firmware, MAC adresy nebo doby běhu.
Ještě podstatnější je ale příkazový kanál.
VulnCheck uvádí, že zařízení poskytuje neautentizovaný root shell. Kontrolní mechanismy lze obejít a příkazy následně spouštět s nejvyššími oprávněními systému.
Router se tak z obyčejného síťového zařízení mění v potenciální vstupní bod do celé sítě.
203 routerů dostupných z internetu
Výzkumníci se následně rozhodli zjistit, zda DARKLANTERN není pouze artefaktem jednoho zařízení.
Pomocí internetového skenování hledali routery, které na dotazy implant reagují.
Mezi 18. a 21. srpnem 2026 identifikovali 203 internetově dostupných zařízení ve 22 zemích.
A nešlo přitom pouze o jeden model.
Zařízení se identifikovala jako 16 různých modelů routerů.
To je důležitý detail.
Nejde tedy o případ, kdy by někdo objevil chybu v jednom konkrétním modelu a výrobce by mohl jednoduše vydat opravu pro jediné zařízení.
DARKLANTERN se podle výzkumu objevuje ve firmware více produktů a různých generací.
VulnCheck zároveň upozorňuje, že jde pravděpodobně pouze o část skutečného počtu zařízení. Analyzovaný firmware pochází z roku 2019 a některé z těchto routerů mohou být dnes již mimo provoz.
SPEAKINGSTONE funguje jinak
Druhý implant je ještě zajímavější.
SPEAKINGSTONE totiž nečeká na příchozí spojení.
Místo toho se sám připojuje ven.
Běží jako služba yunmgrd a komunikuje přes UDP s přednastavenou C2 infrastrukturou.
Tento způsob fungování je z pohledu útočníka velmi praktický.
DARKLANTERN potřebuje, aby se útočník mohl k routeru připojit.
SPEAKINGSTONE tento problém řeší opačně.
Router sám naváže spojení směrem ven.
Nezáleží tak tolik na tom, jestli je zařízení za NATem, firewallem nebo v síti, kde není přímo dostupné z internetu.
Jakmile router může komunikovat ven, může se pokusit spojit s řídicí infrastrukturou.
A právě tady se příběh začíná propojovat s ENDLESSDOORS.
Stejná infrastruktura jako u ENDLESSDOORS
Na analyzovaném ZBT-WE826-T2 byl jako C2 server nakonfigurován doménový název ac-link[.]com.
Doména podle VulnCheck směřovala na IP adresu 47.107.224[.]89, která se nachází v infrastruktuře Alibaba Cloud v čínském Šen-čenu.
A stejná doména a IP adresa se objevily také v předchozím výzkumu ENDLESSDOORS.
To je důležitá souvislost.
Máme tedy několik různých implantů, které se objevují v různých generacích ZBT firmware a jejichž infrastruktura se částečně překrývá.
VulnCheck proto označuje ENDLESSDOORS, SPEAKINGSTONE a DARKLANTERN jako tři různé implanty v několika generacích firmware ZBT.
SPEAKINGSTONE dokáže mnohem víc než jen „telefonovat domů“
SPEAKINGSTONE není pouze mechanismus pro diagnostiku nebo kontrolu dostupnosti zařízení.
Podle nové analýzy umožňuje vzdálenému operátorovi například:
- spouštět příkazy s oprávněním root,
- měnit DNS konfiguraci,
- získávat PPPoE přihlašovací údaje,
- vytvořit reverse SSH tunel,
- a manipulovat se síťovou konfigurací.
Změna DNS je přitom obzvlášť nepříjemná.
Pokud útočník dokáže ovlivnit DNS provoz routeru, může uživatele přesměrovat na infrastrukturu, kterou kontroluje.
Například zařízení v síti požádá router o IP adresu legitimního webu.
Router však může místo skutečné adresy vrátit adresu útočníka.
Pro běžného uživatele přitom může všechno vypadat normálně.
Výzkumníci získali kontrolu nad C2 doménou
Jedna z nejzajímavějších částí celého výzkumu přišla ve chvíli, kdy VulnCheck zjistil, že některá záložní doména používaná SPEAKINGSTONE nebyla registrovaná.
Výzkumníci ji zaregistrovali.
A implanty se začaly hlásit.
Podle VulnCheck se po zprovoznění sinkhole připojily stovky routerů, přičemž většina pocházela z Číny.
Tento experiment ukazuje zásadní problém.
I kdybychom přijali argument, že původní mechanismy byly vytvořeny pouze pro technickou podporu, nezabezpečená komunikace znamená, že kontrolu nad mechanismem nemusí mít pouze výrobce.
Pokud někdo převezme doménu, síťovou cestu nebo infrastrukturu, může se k zařízení dostat někdo úplně jiný.
Tři implanty, několik generací firmware
A právě tady se případ ZBT začíná měnit z jedné bezpečnostní chyby v mnohem zajímavější příběh.
Máme:
ENDLESSDOORS
Telefonní implant, který se připojuje k externí infrastruktuře a umožňuje vzdálené příkazy s oprávněním root. VulnCheck jej v srpnu identifikoval v řadě novějších firmware ZBT.
DARKLANTERN
Starší WAN backdoor, který naslouchá na UDP portu 9992 a umožňuje vzdálený neautentizovaný přístup.
SPEAKINGSTONE
Další starší telefonní implant, který se připojuje k C2 infrastruktuře a může umožnit vzdálené příkazy, manipulaci s DNS nebo vytvoření reverse SSH tunelu.
Nejde tedy o jediný mechanismus.
Jde o tři různé implanty napříč různými generacemi firmware.
ZBT jako problém dodavatelského řetězce
Celý případ má ještě jednu důležitou vrstvu.
ZBT nevyrábí pouze zařízení prodávaná pod vlastním jménem.
Společnost poskytuje také OEM a ODM služby.
To znamená, že hardware může být následně prodáván pod značkou jiné firmy.
A právě zde vzniká problém.
Uživatel si nemusí koupit router s nápisem ZBT.
Může si koupit zařízení od úplně jiné značky.
Uvnitř ale může být hardware a firmware pocházející právě od ZBT.
VulnCheck ve svém výzkumu ukazuje konkrétní případ routeru Deep Orange, který byl ve skutečnosti white-label variantou ZBT-WE826-T2.
To výrazně komplikuje hledání zasažených zařízení.
Nestačí se totiž podívat pouze na značku uvedenou na krabici.
Proč je white-labeling bezpečnostní problém?
White-label hardware není sám o sobě bezpečnostní problém.
Je to běžný obchodní model.
Problém vzniká ve chvíli, kdy zákazník neví, kdo skutečně vytvořil firmware, jaké komponenty obsahuje a jak dlouho bude výrobce poskytovat bezpečnostní aktualizace.
Představme si například malou firmu.
Nakoupí několik levných LTE routerů od málo známé značky.
Routery fungují.
Internet funguje.
Firmware má webové rozhraní.
Všechno vypadá normálně.
Jenže uvnitř zařízení může běžet komponenta, která se automaticky připojuje k externí infrastruktuře a umožňuje vzdálené ovládání.
A pokud se zařízení prodává pod jinou značkou, administrátor nemusí mít žádný jednoduchý způsob, jak zjistit, že jeho router pochází právě od ZBT.
ZBT tvrdí, že šlo o technickou podporu
Po zveřejnění ENDLESSDOORS ZBT uvedla, že vzdálený management měl sloužit výhradně pro poprodejní technickou podporu a řešení problémů zákazníků.
Společnost zároveň tvrdila, že mechanismus byl určen pouze na základě výslovného požadavku a autorizace zákazníka a že nebyl použit k neoprávněnému přístupu.
Po zveřejnění výzkumu ENDLESSDOORS ZBT také stáhla dotčený firmware a oznámila přípravu oprav.
Jenže nový výzkum VulnCheck tuto obhajobu staví do mnohem komplikovanějšího světla.
U nově objevených implantů totiž výzkumníci nenašli mechanismus, který by jednoznačně dokazoval, že zákazník musí předem požádat o vzdálený přístup.
Navíc komunikace implantů nebyla zabezpečena způsobem, který by kontrolu omezil pouze na výrobce.
Nově přidělená CVE ukazují závažnost problému
Nové nálezy už nejsou pouze technickým blogpostem.
VulnCheck jim přidělil samostatné CVE.
CVE-2026-74232 – SPEAKINGSTONE
VulnCheck jej klasifikuje jako kritickou chybu s CVSS 9,3.
Týká se mimo jiné firmware modelů WE826-T2, ZBT-7628, ZBT-7621 a několika zařízení řad MQAC, MQAP, AP a dalších.
Problém je popsán jako embedded malicious code a nezabezpečený komunikační kanál.
Útočník schopný zachytit nebo ovládnout komunikaci může podle VulnCheck získat vzdálené spuštění příkazů jako root.
CVE-2026-74233 – DARKLANTERN
Také tato chyba má podle VulnCheck CVSS 9,3 a je klasifikována jako kritická. Týká se například modelů WE1326, WE2426-C a WE357 a dalších zařízení. V tomto případě jde o příkazový backdoor dostupný prostřednictvím WAN rozhraní.
Co to znamená pro majitele ZBT routerů?
Pokud máte doma nebo ve firmě router ZBT, případně zařízení prodávané pod jinou značkou, není důvod automaticky předpokládat, že je kompromitované.
Ale rozhodně není dobrý nápad problém ignorovat.
Nejdůležitější je zjistit:
- Kdo router skutečně vyrobil.
- Jaký přesně model používáte.
- Jakou verzi firmware máte nainstalovanou.
- Zda daný firmware obsahuje některý z uvedených implantů.
- Zda výrobce poskytuje skutečně opravený firmware.
U zařízení používaného ve firmě je situace ještě závažnější.
Router totiž není izolovaný počítač.
Je to zařízení, přes které prochází komunikace dalších systémů.
Pokud útočník získá root přístup k routeru, může jeho kompromitace být pouze prvním krokem.
Router není „jen Wi-Fi krabička“
Případ ZBT je dobrou připomínkou toho, jak často se podceňuje bezpečnost síťových zařízení.
Router má obvykle přístup k:
- interním IP adresám,
- DNS provozu,
- síťové konfiguraci,
- přihlašovacím údajům pro připojení,
- komunikaci zařízení v lokální síti,
- a v některých případech také k dalším síťovým službám.
Když tedy někdo získá kontrolu nad routerem, nemusí být jeho cílem samotný router.
Router může být vstupní branou do celé sítě.
A právě proto jsou podobné implanty mnohem nebezpečnější než běžná chyba ve webovém rozhraní.
ENDLESSDOORS nebyl izolovaný případ
Na začátku srpna mohl případ ENDLESSDOORS působit jako velmi závažná, ale izolovaná událost. Nový výzkum však ukazuje jiný obrázek. V různých generacích ZBT firmware byly nalezeny nejméně tři mechanismy:
ENDLESSDOORS, DARKLANTERN a SPEAKINGSTONE.
Jeden telefonoval domů. Druhý naslouchal přímo na WAN rozhraní. Třetí se sám připojoval k řídicí infrastruktuře a poskytoval vzdálenému operátorovi rozsáhlé možnosti. A některé z těchto mechanismů se objevily ve firmware starém několik let. To je přesně důvod, proč je bezpečnost dodavatelského řetězce síťových zařízení tak důležitá.
Závěr
DARKLANTERN a SPEAKINGSTONE představují další kapitolu v případu ZBT. Výzkumníci z VulnCheck našli starší router s firmware z roku 2019, ve kterém nebyl ENDLESSDOORS. Místo něj ale objevili dva jiné mechanismy schopné poskytovat vzdálený přístup. Následné skenování internetu odhalilo více než dvě stovky zařízení s DARKLANTERN dostupných z internetu a celkem 16 různých modelů. SPEAKINGSTONE navíc ukázal, že problém nemusí být omezen pouze na zařízení přímo dostupná z internetu. Implant, který sám navazuje spojení směrem ven, může fungovat i za NATem nebo firewallem. A právě proto je tento případ důležitý. Nejde pouze o jeden router. Jde o otázku, co všechno máme ve firmware zařízení, kterým svěřujeme provoz celé své sítě.
Zdroje
- VulnCheck – Chinese Implants in the Supply Chain:
https://www.vulncheck.com/blog/zbt-darklantern-speakingstone - VulnCheck – Zbtlink MQWrt
yunmgrdCloud C2 Implant, CVE-2026-74232:
https://www.vulncheck.com/advisories/zbtlink-mqwrt-yunmgrd-cloud-c2-implant - VulnCheck – Zbtlink MQWrt
infosrvdCommand Injection, CVE-2026-74233:
https://www.vulncheck.com/advisories/zbtlink-mqwrt-infosrvd-command-injection - VulnCheck – ENDLESSDOORS: Zbtlink Router rctl/kworker Phone-Home Root Implant:
https://www.vulncheck.io/advisories/zbt-endlessdoors - The Hacker News – Chinese-Made Zbtlink Routers Ship With Backdoor That Opens Unauthenticated Root Shells:
https://thehackernews.com/2026/08/chinese-made-zbtlink-routers-ship-with.html - Reuters – Chinese router maker Zbtlink suspends sales of routers found to contain backdoor:
https://www.reuters.com/world/asia-pacific/chinas-zbtlink-suspends-sales-routers-found-contain-backdoor-2026-08-06/ - Reuters – Chinese-made Zbtlink routers have backdoor, researchers say:
https://www.reuters.com/world/asia-pacific/chinese-made-zbtlink-routers-have-backdoor-researchers-say-2026-08-05/
