Router venduti online nascondono backdoor per la sorveglianza: quali sono

Tre impianti nascosti nel firmware di alcuni router prodotti da Shenzhen Zhibotong Electronics, nota come ZBT, hanno trasformato un problema di sicurezza della supply chain in un caso particolarmente serio.

I ricercatori di VulnCheck hanno individuato ENDLESSDOORS, DARKLANTERN e SPEAKINGSTONE, componenti capaci di comunicare con server remoti, eseguire comandi privilegiati e raccogliere informazioni sui dispositivi.

L’indagine, pubblicata nell’agosto 2026, è partita da apparati ZBT ma ha evidenziato un problema più ampio: il produttore realizza hardware per numerosi marchi OEM e ODM. Lo stesso progetto può quindi arrivare sul mercato con nomi commerciali differenti, rendendo difficile riconoscerne l’origine e valutare il firmware utilizzato.

ENDLESSDOORS e DARKLANTERN espongono funzioni remote

Nel primo router analizzato, VulnCheck ha trovato ENDLESSDOORS, avviato automaticamente e denominato kworker per confondersi con un processo Linux. Il componente contatta un server configurato nel firmware e può ricevere comandi destinati a una shell root. I ricercatori hanno verificato il comportamento tramite un server di laboratorio. ENDLESSDOORS è stato associato a CVE-2026-66747, classificato come CWE-506, Embedded Malicious Code, con un punteggio CVSS di 9.3.

DARKLANTERN è emerso su un router cellulare venduto negli Stati Uniti con un marchio differente, ma riconducibile alla piattaforma ZBT-WE826-T2. Il servizio infosrvd apre un listener WAN sulla porta UDP 9992 e può fornire informazioni sul dispositivo. Secondo VulnCheck, il protocollo non utilizza un’autenticazione robusta: il controllo basato sul MAC può essere aggirato e il checksum usa un sale statico. I ricercatori hanno verificato l’esecuzione di comandi come root senza credenziali. Una scansione tra il 18 e il 21 agosto 2026 ha individuato 203 istanze esposte in 22 Paesi.

SPEAKINGSTONE utilizza invece connessioni in uscita. Il servizio yunmgrd contatta periodicamente l’infrastruttura ZBT sulla porta UDP 10000. Secondo l’analisi, il protocollo può recuperare credenziali PPPoE, modificare una lista destinata al DNS hijacking ed eseguire un reverse SSH tunnel. Il canale può quindi restare operativo anche quando NAT o firewall impediscono collegamenti diretti dall’esterno.

La supply chain rende difficile fidarsi del firmware

VulnCheck ha registrato un dominio secondario presente nel firmware di SPEAKINGSTONE e lo ha trasformato in un sinkhole. Al 21 agosto 2026, 392 dispositivi unici avevano contattato il server; 390 risultavano localizzati in Cina. I ricercatori descrivono l’installazione come tecnologia di sorveglianza domestica cinese, ma questo dato non dimostra quale organizzazione abbia commissionato o utilizzato il componente.

La situazione è complicata dalla natura OEM di ZBT. VulnCheck ha collegato piattaforme del produttore a numerosi marchi commerciali, tra cui Lippert Components, Wave WiFi, OneX, MoFI Network e Digineo. Non tutti i firmware analizzati contenevano gli impianti, ma il modello di distribuzione rende difficile risalire all’origine del software partendo dal solo marchio.

Il caso differisce da una normale vulnerabilità software perché i ricercatori descrivono componenti inseriti nel firmware con funzioni di accesso remoto già previste. ZBT ha definito ENDLESSDOORS uno strumento per il supporto tecnico post-vendita, ma una funzione di amministrazione remota richiede autenticazione forte e un canale protetto. Senza queste garanzie, il meccanismo può diventare una superficie di compromissione.

Per l’utente, cambiare la password Wi-Fi o disattivare una funzione dall’interfaccia non garantisce necessariamente la rimozione del codice. Anche bloccare una porta WAN non risolve il problema delle connessioni in uscita di SPEAKINGSTONE. VulnCheck raccomanda quindi la sostituzione degli apparati interessati e la verifica di modello e versione firmware rispetto agli indicatori pubblicati. Il caso mostra così perché la sicurezza di un router dipenda anche dalla provenienza e dalla verificabilità del firmware.