Deux nouvelles failles de sécurité détectées dans plusieurs modèles de routeurs produits par la société chinoise Zbtlink. Nommées Lanterne noire et Pierre parlante par les chercheurs de VulnCheck, ces portes dérobées permettent respectivement le contrôle à distance des appareils et la communication avec un serveur externe. Certaines de leurs fonctionnalités donnent accès à des informations sensibles, permettent d’exécuter des commandes d’administrateur et d’altérer le trafic réseau.
L’alerte est d’autant plus préoccupante que ces routeurs sont commercialisés sous différentes marques. VulnCheck a débuté son enquête avec un modèle Deep Orange acquis pour 88 $ sur Amazon aux États-Unis. Sous cette marque se cache un ZBT-WE826-T2 équipé d’un micrologiciel datant de 2019. Les utilisateurs peuvent donc détenir ce matériel sans en connaître la véritable origine.
Darklantern facilite les commandes sans authentification
La première porte dérobée repose sur un service nommé infosrvd, accessible via le port UDP 9992. Le pare-feu du routeur autorise les connexions depuis Internet sans cryptage ni authentification adéquate. Une simple requête peut renvoyer des informations telles que le modèle, la version du micrologiciel, l’adresse MAC, ainsi que le temps de fonctionnement de l’appareil.
Ce service accepte également des commandes exécutées avec des privilèges root, le niveau d’autorisation le plus élevé sous Linux. VulnCheck décrit un mécanisme reposant sur une clé statique et une adresse MAC nulle, ce qui permet d’éviter de devoir connaître précisément l’appareil ciblé. Un attaquant ayant accès au port exposé peut, ainsi, transformer le routeur en un point d’accès malveillant au sein du réseau.
Une investigation menée du 18 au 21 août a recensé 203 appareils accessibles depuis Internet dans 22 pays, répartis sur 16 modèles différents. Ce chiffre ne tient compte que des routeurs visibles et répondant au protocole recherché, sans pouvoir évaluer tous les appareils installés derrière d’autres pare-feux ou configurés différemment.
Speakingstone établit une liaison avec une infrastructure distante
La deuxième porte dérobée, Speakingstone, contourne cette limitation en établissant une connexion sortante vers un serveur de commande et de contrôle. Elle peut ainsi fonctionner derrière des systèmes de traduction d’adresses ou des pare-feu qui bloquent les connexions entrantes. Selon l’analyse technique de VulnCheck, le routeur transmet alors son modèle, son micrologiciel, son adresse MAC, le nom du réseau Wi-Fi, son adresse IP locale et, le cas échéant, ses coordonnées GPS.
Le serveur distant est en mesure de lui demander d’exécuter des commandes, d’exfiltrer des informations d’identification PPPoE, de modifier les serveurs DNS ou d’ouvrir un tunnel SSH inversé. Le détournement DNS constitue une menace sérieuse, car il permet de rediriger certaines requêtes vers des services contrôlés par l’attaquant, même si l’appareil connecté au routeur ne contient initialement aucun malware.
VulnCheck a mis en place un domaine de réserve laissé accessible par l’infrastructure, transformé en récepteur pour observer les connexions sans envoyer de commandes. Au 21 août, 392 appareils uniques avaient communiqué avec ce domaine, dont 390 provenant de Chine, environ 83 % via China Mobile. Le serveur principal est resté opérationnel, rendant impossible l’estimation du nombre total d’appareils susceptibles de se connecter.
Une chaîne d’approvisionnement complexe à tracer
Les chercheurs relient les équipements observés à des revendeurs ou intégrateurs situés aux États-Unis, au Canada, en Australie, aux Philippines, en Allemagne et en Russie. Cela ne signifie pas pour autant que tous les modèles de ces revendeurs soient concernés. La pratique du rebranding complique cette évaluation : deux marques différentes peuvent utiliser la même carte, tandis qu’un nom commercial identique peut dissimuler plusieurs versions différentes.
Zbtlink affirme que les fonctionnalités d’accès à distance sont destinées au service après-vente et qu’elles ne représentent aucun risque pour l’utilisateur. VulnCheck conteste toutefois cette affirmation, soulignant l’absence de consentement explicite, d’authentification robuste et de protection des communications. Bien qu’une fonctionnalité de maintenance puisse sembler légitime, elle devient une faille sérieuse si un tiers peut en profiter sans contrôle rigoureux.
Ce problème dépasse le cadre de Zbtlink. Le FBI a déjà saisi des routeurs Cisco et Netgear compromis par le botnet KV Botnet et démantelé un réseau de 260 000 appareils connectés attribué à Flax Typhoon. Les routeurs anciens et mal entretenus demeurent des cibles privilégiées en raison de leur fonctionnement continu, de leur emplacement central et du rare déploiement de mises à jour.
Les propriétaires de routeurs rebranded doivent vérifier le numéro de pièce du matériel et la version du micrologiciel, désactiver l’administration à distance si ce n’est pas nécessaire, et demander au vendeur une mise à jour documentée. En l’absence de maintenance fiable, le remplacement par un équipement plus sécurisé est la précaution la plus sage. Cette enquête illustre surtout qu’un simple logo différent sur l’emballage ne garantit pas une chaîne logicielle distincte à l’intérieur.
