Ces routeurs chinois peuvent être contrôlés à distance sans authentification

Deux nouveaux implants ont été détectés dans des routeurs du fabricant chinois Zbtlink, à l’origine d’une porte dérobée découverte début août sur une vingtaine de modèles. DarkLantern et SpeakingStone ouvrent un accès root sans authentification et contactent des serveurs distants, selon le chercheur en sécurité.

Le fabricant, Shenzhen Zhibotong Electronics, ou Zbtlink, vend ses routeurs sous licence à de nombreuses enseignes, dont Amazon et Shopify et deux de ses services, infosrvd et yunmgrd, hébergent chacun une porte dérobée.

DarkLantern (CVE-2026-74233) s’exécute via infosrvd, actif sur le port UDP 9992 des routeurs testés, et il suffit de connaître un sel codé en dur et de présenter une adresse MAC à zéro pour obtenir un accès root, sans mot de passe.

SpeakingStone (CVE-2026-74232) fonctionne à l’inverse, puisque yunmgrd contacte, depuis l’intérieur du réseau, un serveur de commande fixé dans le code, à l’adresse ac-link.com, avec un domaine de secours, via un protocole maison, zbtProtocol, doté d’un chiffrement XOR optionnel pour brouiller le trafic.

Les deux failles affichent un score proche du maximum, entre 9,3 et 9,8 sur 10, et un attaquant peut voler les identifiants de connexion , détourner le DNS ou ouvrir un tunnel SSH inversé.

On dénombre désormais trois portes dérobées sur les routeurs Zbtlink en moins d’un mois, sur un firmware dont la base remonte à 2019 pour les deux implants les plus récents. Le 5 août, VulnCheck avait identifié la porte dérobée ENDLESSDOORS (CVE-2026-66747) sur une vingtaine de modèles Zbtlink , avec un processus dissimulé sous le nom kworker pour se fondre parmi les tâches normales du système. Cet implant reprenait rctl, un outil de contrôle à distance publié sur GitHub en 2015, capable d’exécuter des commandes en root et d’ouvrir un shell interactif sur le port 7001 grâce à un paramètre caché.

Les appareils contactaient deux serveurs, zbtctl.epplink.net et rbdg4nzqadui.wikaba.com, en partie hébergés sur des serveurs chinois d’Alibaba Cloud. Selon VulnCheck, « quiconque répond au téléphone possède l'appareil ».

Contacté à l’époque, Zbtlink avait contesté le terme de porte dérobée. Le fabricant a affirmé qu’il s’agissait d'un outil de maintenance après-vente, et a suspendu le téléchargement de certaines versions de son firmware. On vous avait parlé de cette première découverte , alors chiffré à plus de 100 000 appareils dans le monde.

Les images de firmware proposées au téléchargement affichaient pourtant encore, le 17 août, des versions des modèles WE826-T2 et WE2426-C, deux références de nouveau concernées par l’avis sur DarkLantern.

203 routeurs exposés dans le monde et le silence de Zbtlink VulnCheck a repéré 203 appareils exposés sur Internet avec le port de DarkLantern ouvert, répartis dans 22 pays, lors d’un balayage réalisé entre le 18 et le 21 août. SpeakingStone présente une empreinte différente. Un système de leurre a intercepté 392 appareils actifs, dont 390 en Chine, et 83 % d’entre eux transitent par le réseau de l’opérateur China Mobile.