Специалисты компании VulnCheck обнаружили в прошивках роутеров китайского производителя Shenzhen Zhibotong Electronics (ZBT) два ранее неизвестных импланта. Оба позволяют удаленному злоумышленнику подключиться к устройству без аутентификации и выполнить команды с правами root.
Обнаруженные бэкдоры получили названия SPEAKINGSTONE (CVE-2026-74232) и DARKLANTERN (CVE-2026-74233). Обе проблемы оцениваются в 9,3 балла по шкале CVSS 4.0 и 9,8 балла по CVSS 3.1, так как для эксплуатации не нужны какие-либо привилегии или действия со стороны пользователя.
Исследователи пишут, что SPEAKINGSTONE работает как сервис yunmgrd и роутер сам отправляет данные на жестко закодированный адрес управляющего сервера через UDP-порт 10000. Поскольку соединение инициирует само устройство, механизм работает даже за NAT и не требует открытого входящего порта.
Бэкдор способен выполнять произвольные команды с правами root, похищать логин и пароль для PPPoE, изменять DNS-записи и перенаправлять устройства в локальной сети на подконтрольные атакующим серверы, а также открывать обратный SSH-туннель.
«Это шпионский имплант с root-доступом к каждому устройству, на котором он работает», — пишут исследователи.
Помимо адреса основного управляющего сервера, в коде SPEAKINGSTONE присутствует и резервный домен, который оказался незарегистрированным. Специалисты VulnCheck зарегистрировали его сами и подняли сервер с собственной реализацией протокола, после чего с ним практически сразу стали связываться роутеры.
По состоянию на 21 августа 2026 года с сервером связались 392 уникальных устройства, причем 390 находились в Китае. Эксперты пишут, что 83% этих роутеров использовали сеть China Mobile; 304 раздавали Wi-Fi с SSID, начинавшимся с «CMCC»; и 363 устройства идентифицировали себя как модель L3_V2_8 с прошивкой 3.0.0.4.528.
Подчеркивается, что точное число затронутых проблемой устройств неизвестно, так как к резервному домену обращались только те роутеры, у которых по какой-то причине не был задан основной управляющий сервер.
Второй бэкдор, DARKLANTERN, работает как сервис infosrvd на UDP-порту 9992, и штатный файрвол прошивки разрешает входящие подключения к этому порту из интернета.
При этом обнаружилось, что предусмотренная в DARKLANTERN защита фактически бесполезна. Так, для выполнения команды пакет должен содержать специальный токен и MAC-адрес роутера, однако токен вычисляется с помощью жестко заданного значения, которое легко извлечь из прошивки. Проверку MAC-адреса тоже можно обойти, передав вместо него шесть нулевых байт. В результате любой удаленный атакующий может отправлять роутеру команды.
С 18 по 21 августа специалисты обнаружили 203 доступных через интернет инстанса DARKLANTERN в 22 странах. Отдельно подчеркивается, что в этом случае речь идет о 16 моделях роутеров, которые ответили на сканирование, а не о подтвержденных случаях их компрометации.
По словам специалистов VulnCheck, SPEAKINGSTONE и DARKLANTERN были найдены в роутере Deep Orange 3G/4G/LTE Router стоимостью 88 долларов США, купленном у американского поставщика. Но, как выяснилось, под этим названием продавалась модель ZBT-WE826-T2 с прошивкой 2019 года.
Напомним, что около месяца назад эксперты VulnCheck нашли бэкдор ENDLESSDOORS в прошивках как минимум 20 моделей Zbtlink. Этот имплант тоже запускается вместе с системой, связывается с удаленной управляющей инфраструктурой и позволяет без аутентификации выполнять команды с правами root.
Тогда представители Zbtlink заявляли, что это не бэкдор, а инструмент для сервисного обслуживания, который используется только по запросу и с разрешения клиента.
Обнаружение SPEAKINGSTONE и DARKLANTERN представители производителя пока не прокомментировали.
В VulnCheck предупреждают, что ситуация осложняется OEM-моделью работы ZBT: одно и то же железо и прошивки могут продаваться под разными брендами. Поэтому исследователи рекомендуют прежде всего ориентироваться на номер модели, а к их отчету приложен список, в который вошли десятки затронутых проблемой моделей и сборок. Также специалисты опубликовали правила Suricata и YARA для обнаружения обоих имплантов.
Дополнительно в компании рекомендуют владельцам устройств ZBT блокировать все входящие соединения на UDP-порт 9992, отслеживать обращения к управляющей инфраструктуре SPEAKINGSTONE, а также считать локальную сеть роутеров недоверенной.
