{"id":50347,"date":"2026-08-29T03:10:15","date_gmt":"2026-08-29T01:10:15","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50347"},"modified":"2026-08-29T03:10:15","modified_gmt":"2026-08-29T01:10:15","slug":"zbt-router-backdoors-sicherheitsluecke-50347","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/zbt-router-backdoors-sicherheitsluecke-50347\/","title":{"rendered":"China-Router von ZBT enthalten Backdoors"},"content":{"rendered":"

Die chinesische Firma Shenzhen Zhibotong Electronics Co., Ltd., kurz ZBT, produziert Internet-Router f\u00fcr Mobilfunkstandards wie LTE und 5G. Zahlreiche Anbieter, darunter auch in Deutschland aktive, vertreiben diese Ger\u00e4te unter eigenem Label als OEM-Produkte. IT-Sicherheitsforscher von VulnCheck<\/a> haben nun in mehreren Modellen Hintert\u00fcren entdeckt, die Angreifern root-Zugriff gew\u00e4hren und eine Fernsteuerung der Router erm\u00f6glichen.<\/p>\n

Hintergrund: ZBT-Router und OEM-Marken<\/h2>\n

Die Router von ZBT werden weltweit eingesetzt \u2013 in Australien, Deutschland, Kanada, den Philippinen, Russland und den USA. Oft tragen sie andere Namen: Das konkret untersuchte Modell wurde als \u201eDeep Orange\u201c verkauft, entpuppte sich aber als ZBT-WE826-T2. In Deutschland nutzen die Marken Digineo und Allnet ZBT-Router als OEM-Ger\u00e4te. Die Forscher erlangten \u00fcber eine Telnet-Sicherheitsl\u00fccke root-Zugriff auf einen in den USA<\/a> erworbenen Router und extrahierten die Firmware aus dem Jahr 2019. Darin fanden sie gleich zwei Implantate: \u201eSpeakingstone\u201c und \u201eDarklantern\u201c.<\/p>\n

Darklantern: Die Backdoor im WAN<\/h2>\n

Die Hintert\u00fcr Darklantern l\u00e4uft als Prozess \u201einfosrvd\u201c und horcht auf UDP-Port 9992. Die Router-Firewall erlaubt explizit eingehende Verbindungen auf diesen Port. Der Prozess beantwortet ein spezielles Info-Paket mit Daten wie Firmware-Version, MAC-Adresse und Uptime \u2013 gesendet auf UDP-Port 8897. Zudem versteht Darklantern ein Befehlspaket, das beliebige Aufrufe direkt an das Betriebssystem durchreicht. Ein Semikolon gen\u00fcgt, um aus dem vorgegebenen Pfad auszubrechen. Der integrierte MAC-Filter ist wirkungslos: Entweder liefert das Info-Paket die MAC-Adresse gleich mit, oder der Code akzeptiert den Wert 00:00:00:00:00:00 ohne Pr\u00fcfung. Bei einem dreit\u00e4gigen Scan Mitte August antworteten 203 Ger\u00e4te im Internet auf die Testpakete \u2013 die meisten in den USA, gefolgt von Russland, Taiwan, China und der Ukraine. Alle gew\u00e4hren einem Angreifer eine root-Shell ohne Authentifizierung.<\/p>\n

Speakingstone: Die Command-and-Control-Verbindung<\/h2>\n

Das zweite Implantat, Speakingstone, l\u00e4uft als Prozess \u201eyunmgrd\u201c und initiiert selbstst\u00e4ndig Verbindungen. In regelm\u00e4\u00dfigen Abst\u00e4nden kontaktiert es die Domain \u201eac-link[.]com\u201c (zu ZBT geh\u00f6rig) auf UDP-Port 10000. Die Anfrage \u00fcbermittelt Ger\u00e4temodell, Firmware-Version, MAC-Adresse, SSID, LAN-IP und Uptime. Die Antwort kann beliebige Befehle ausf\u00fchren, WAN-PPPoE-Zugangsdaten abgreifen, eine DNS-Hijack-Liste einspielen oder einen Reverse-SSH-Tunnel auf- oder abbauen. ZBT erkl\u00e4rte gegen\u00fcber VulnCheck, dies sei ein Support-Tool f\u00fcr den After-Sales-Service. Die Forscher widersprechen: DNS-Hijacking und das Abgreifen von ISP-Zugangsdaten geh\u00f6re nicht zum Standard-Support. Sie sehen darin ein \u00dcberwachungswerkzeug mit root-Zugang.<\/p>\n

Im Sourcecode fanden die Forscher eine weitere Command-and-Control-Domain, die nicht mehr registriert war: \u201ewww.findmyipaddr[.]com\u201c. VulnCheck registrierte sie und z\u00e4hlte seit dem 21. August 2026<\/a> bereits 392 meldende Ger\u00e4te \u2013 390 davon stammten direkt aus China. 363 dieser Ger\u00e4te geh\u00f6ren zu einem speziellen Modell, das die Forscher als chinesische \u00dcberwachungstechnik einordnen, da es sich nicht um handels\u00fcbliche Router handelt.<\/p>\n

EndlessDoors: Eine weitere Backdoor<\/h2>\n

In verschiedenen Firmware-Versionen und ZBT-Routern entdeckte VulnCheck zus\u00e4tzliche Hintert\u00fcren. Nach 2019 kam \u201eEndlessDoors\u201c hinzu, die sich als Prozess \u201ekworker\u201c tarnt \u2013 ein Userland-Prozess mit root-Rechten, der echte kworker-Threads imitiert. Dahinter verbirgt sich \u201erctl\u201c (Remote Control Linux), ein Command-and-Control-System, das auf eine weitere Domain oder IP verbindet. Die Forscher listen betroffene Modelle sowie Indicators of Compromise (IOC) auf, darunter IP-Adressen, Binary-Hashes und YARA-Regeln. ZBTlink hat als Reaktion den Verkauf der betroffenen Router ausgesetzt und die Software offline genommen, w\u00e4hrend an Updates gearbeitet wird.<\/p>\n

Betroffene Modelle und Handlungsempfehlungen<\/h2>\n

Die Backdoors finden sich in zahlreichen ZBT-Modellen, die international als OEM-Produkte verkauft werden. In Australien laufen sie unter der Marke OneX, in Kanada unter MOFI Networks. In Deutschland sind Digineo und Allnet betroffen. VulnCheck r\u00e4t, diese Ger\u00e4te bis zur Bereitstellung sicherer Updates au\u00dfer Betrieb zu nehmen. Die Router enthalten eingebaute \u00dcberwachungsm\u00f6glichkeiten und werden an ahnungslose Verbraucher verkauft. Angreifer k\u00f6nnen die Schwachstellen und Backdoors einfach ausnutzen. Die Analyse enth\u00e4lt zudem ein Python-Skript, um betroffene Router im eigenen Netzwerk zu identifizieren.<\/p>\n

Backdoors in Routern sind kein neues Ph\u00e4nomen: Anfang 2025 fielen Juniper-Router durch Hintert\u00fcren auf, die auf Magic Packets reagierten. Der Fall ZBT zeigt jedoch, wie tief solche Implantate in der Firmware von OEM-Ger\u00e4ten sitzen k\u00f6nnen \u2013 und wie schwer sie f\u00fcr Endkunden zu erkennen sind. Bis die Hersteller nachhaltige Sicherheitsupdates bereitstellen, bleibt nur die konsequente Trennung der Ger\u00e4te vom Netz.<\/p>\n","protected":false},"excerpt":{"rendered":"

Die chinesische Firma Shenzhen Zhibotong Electronics Co., Ltd., kurz ZBT, produziert Internet-Router f\u00fcr Mobilfunkstandards wie LTE und 5G. Zahlreiche Anbieter, darunter auch in Deutschland aktive, vertreiben diese Ger\u00e4te unter eigenem Label als OEM-Produkte. IT-Sicherheitsforscher von VulnCheck haben nun in mehreren Modellen Hintert\u00fcren entdeckt, die Angreifern root-Zugriff gew\u00e4hren und eine Fernsteuerung der Router erm\u00f6glichen. Hintergrund: ZBT-Router […]<\/p>\n","protected":false},"author":5,"featured_media":53687,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50347.png","fifu_image_alt":"China-Router von ZBT enthalten Backdoors","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50347","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50347.png","fifu_image_alt":"China-Router von ZBT enthalten Backdoors","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50347","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50347"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50347\/revisions"}],"predecessor-version":[{"id":50352,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50347\/revisions\/50352"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53687"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50347"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50347"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50347"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}