Ce s-a intamplat?


Un router 5G produs de compania chineză Zbtlink, cumpărat de pe Alibaba și instalat într-o rețea izolată dintr-un laborator de lângă Philadelphia, încerca în mod repetat să contacteze un server extern. Jacob Baines, director tehnic al companiei americane de securitate VulnCheck, a observat apoi în sistem două procese numite kworker, denumire folosită în mod obișnuit de componente legitime ale nucleului Linux. Numai că procesele suspecte nu erau componente ale sistemului de operare, ci programe distincte care rulau cu privilegii de administrator. Analiza firmware-ului a arătat că routerul nu fusese infectat după cumpărare: mecanismul fusese inclus în software-ul livrat de producător și pornea automat odată cu aparatul. VulnCheck a denumit implantul ENDLESSDOORS și l-a identificat în 21 de imagini firmware publicate oficial pentru mai multe modele Zbtlink. Cea mai veche versiune verificată din lotul public analizat poartă o dată din septembrie 2020, ceea ce sugerează că mecanismul poate fi prezent în produse comercializate de cel puțin aproape șase ani. Zbtlink este marca Shenzhen Zhibotong Electronics, o companie care produce routere 4G și 5G și le comercializează atât sub nume propriu, cât și în regim „white label”, pentru alte firme.
În cel mai grav scenariu tehnic, operatorul serverului de comandă poate obține un terminal interactiv cu drepturi de root, cel mai înalt nivel de control asupra routerului. Acesta ar putea modifica setările DNS, redirecționa utilizatorii către site-uri false, intercepta sau analiza trafic necriptat, crea căi de acces către calculatoarele, camerele ori dispozitivele inteligente din rețeaua locală, instala programe suplimentare, opri mecanismele de securitate sau folosi conexiunea ca punct de plecare pentru alte atacuri. VulnCheck a publicat inclusiv reguli de detecție care identifică solicitarea pentru comanda rctlbash, folosită pentru deschiderea unui terminal root. Nu există însă, până acum, dovezi publice că această capacitate a fost folosită efectiv împotriva utilizatorilor și nici o atribuire demonstrată către o instituție a statului chinez. Ceea ce este demonstrat este existența capacității tehnice.
Nu mai vorbim despre o simplă eroare de programare

Contextul 

Cazul Zbtlink apare la numai o lună după dezvăluirea unei probleme asemănătoare în firmware-ul mai multor routere Tenda. CERT Coordination Center al Carnegie Mellon University a arătat că, atunci când autentificarea normală eșua, firmware-ul Tenda căuta o parolă alternativă ascunsă în configurația dispozitivului. Dacă parola secretă era introdusă, orice nume de utilizator putea primi acces administrativ complet. Mecanismul nu era documentat și nu putea fi văzut ori dezactivat din interfața normală a routerului.
O vulnerabilitate obișnuită poate apărea dintr-o verificare greșită, dintr-o eroare de memorie sau dintr-o neglijență. În cazurile Tenda și Zbtlink există însă secvențe de cod care creează în mod deliberat o cale alternativă de control: la Tenda, o parolă secundară ascunsă; la Zbtlink, un program instalat să pornească automat, să se camufleze sub numele unui proces Linux și să contacteze infrastructură externă pentru a primi comenzi. Cercetătorii pot demonstra că mecanismele au fost construite intenționat, dar nu pot demonstra numai din cod de ce au fost introduse: administrare tehnică, control al flotelor de dispozitive, suport la distanță, supraveghere sau un alt scop.

Reacția celor două companii diferă . Tenda a confirmat existența mecanismului în versiunile indicate de CERT/CC și a publicat actualizări de firmware pentru eliminarea problemei. În cazul Zbtlink, situația este diferită. Până la data de 5 august 2026, compania nu publicase niciun comunicat oficial privind implantul ENDLESSDOORS, nu explicase rolul acestuia și nu anunțase disponibilitatea unui firmware care să îl elimine. Agenția Reuters precizează că reprezentanții companiei nu au răspuns solicitărilor de comentarii înaintea publicării investigației. În lipsa unei explicații oficiale, comunitatea de securitate rămâne doar cu concluziile tehnice prezentate de VulnCheck.

Descoperirea VulnCheck poate reaprinde o tema a dezbaterii care a marcat ultimii ani ai industriei telecomunicațiilor. Începând cu 2018–2019, numeroase state occidentale și-au exprimat îngrijorarea că echipamentele de comunicații produse în China, în special cele destinate infrastructurilor 5G, ar putea reprezenta un risc pentru securitatea națională. Aceste temeri au dus la restricții sau chiar la excluderea unor furnizori din rețelele critice în mai multe țări, însă dezbaterea s-a purtat adesea în jurul unor evaluări de risc și al unor argumente geopolitice, fără ca publicul să vadă dovezi tehnice concrete privind existența unor mecanisme ascunse de control în echipamente comerciale. Cazul Zbtlink este diferit. El nu demonstrează că suspiciunile formulate în trecut au fost justificate și nici nu poate fi extrapolat asupra întregii industrii chineze de telecomunicații. În schimb, oferă un exemplu documentat tehnic al unui mecanism ascuns identificat într-un produs comercial și explică de ce problema securității firmware-ului și a lanțului global de aprovizionare rămâne una dintre cele mai sensibile teme din domeniul tehnologiei.

De ce este important 

Problema nu este doar a utilizatorilor Zbtlink. Partea cea mai dificilă a investigației nu este numărarea routerelor pe care scrie Zbtlink, ci identificarea produselor construite de aceeași companie și vândute sub alte nume. Zbtlink funcționează și ca producător OEM/ODM, două modele de afaceri foarte răspândite în industria electronica. Compania chineză Shenzhen Zhibotong Electronics nu produce doar pentru propriul brand. Ea lucrează și în regim OEM și ODM, două modele de afaceri extrem de răspândite în industria electronică.

În regim OEM (Original Equipment Manufacturer), un producător consacrat – american, european sau din orice altă țară – proiectează produsul și stabilește toate specificațiile tehnice, iar fabrica din China îl produce. Routerul ajunge apoi pe piață sub marca clientului.
În regim ODM (Original Design Manufacturer), situația este inversă. Compania chineză proiectează ea însăși produsul – placa electronică, firmware-ul, carcasa și mare parte din funcționalități – iar un brand cunoscut îl cumpără aproape neschimbat și îl comercializează sub propriul logo și în propriul ambalaj.  VulnCheck a constatat deja că același model de router apare sub mărcile Zbtlink și Wiflyer, iar compania descrie activitatea sa de „white-labeling”, adică producție pentru vânzare sub alte nume.

Această diferență este esențială. Dacă un mecanism precum ENDLESSDOORS este introdus într-un produs dezvoltat în regim ODM, același firmware poate ajunge în routere comercializate sub numeroase alte mărci, fără ca utilizatorul să poată identifica producătorul real. Prin urmare, adevărata provocare nu este identificarea routerelor sub marca Zbtlink. Acestea sunt prezente și pe piața europeană, inclusiv prin mari magazine online. Provocarea este identificarea tuturor produselor construite de aceeași companie și comercializate sub alte nume. Abia după identificarea mărcilor, importatorilor, modelelor și firmware-urilor similare vom putea estima dimensiunea reală a problemei.

Ce urmează

Investigația este abia la început. Pentru a înțelege amploarea reală a situației, cercetătorii vor trebui să răspundă la câteva întrebări esențiale:
•    în ce țări au fost comercializate routerele afectate;
•    sub ce mărci au fost vândute;
•    câte dintre ele sunt încă active;
•    dacă serverele de comandă au transmis efectiv instrucțiuni către dispozitive;
•    dacă același mecanism există și în firmware-ul altor producători.

O mare parte din această muncă va fi probabil realizată cu ajutorul inteligenței artificiale și al instrumentelor automate de analiză. Cercetătorii pot descărca mii de imagini firmware, le pot despacheta automat și pot căuta secvențe de cod, certificate digitale, domenii de internet, funcții similare și alte indicii ale unui implant. Modelele AI pot accelera clasificarea codului decompilat și identificarea variantelor asemănătoare, în timp ce instrumente consacrate precum YARA, Binwalk, Suricata sau analiza hash-urilor oferă dovezi tehnice reproductibile. VulnCheck a publicat deja reguli YARA pentru identificarea implantului ENDLESSDOORS și reguli Suricata și Snort pentru detectarea comunicațiilor generate de acesta.
Pentru utilizatorii obișnuiți, verificarea nu este simplă. Primul pas îl reprezintă identificarea exactă a modelului și a versiunii firmware-ului instalat, urmată de compararea acestora cu lista modelelor publicată de VulnCheck. Companiile care utilizează firewall-uri și sisteme de monitorizare pot verifica dacă în rețea apar comunicații către domeniile și indicatorii tehnici publicați de cercetători, inclusiv zbtctl.epplink.net, online-string.com, rbdg4nzqadui.wikaba.com sau conexiuni către portul 7000.
În cazul în care un router este confirmat ca fiind afectat, cea mai sigură măsură este scoaterea lui din funcțiune până la apariția unui firmware verificat independent. Resetarea la setările din fabrică nu elimină implantul, deoarece acesta face parte chiar din firmware-ul instalat de producător. În anumite cazuri, instalarea unei versiuni oficiale OpenWrt poate reprezenta o soluție, dacă modelul este compatibil și procedura este realizată corect.

Cazul ridică și o întrebare importantă pentru autoritățile europene. Routerele Wi-Fi sunt echipamente radio și intră sub incidența Directivei europene privind echipamentele radio (Radio Equipment Directive – RED), transpusă și aplicată în România. Regulile europene impun ca echipamentele conectate la internet să nu afecteze funcționarea rețelelor și să includă măsuri adecvate pentru protejarea datelor și a vieții private. Cerințele europene de securitate cibernetică aplicabile acestor produse sunt deja în vigoare, iar scopul lor este tocmai acela de a împiedica introducerea pe piața Uniunii Europene a unor echipamente care pot reprezenta un risc pentru utilizatori.
În România, ANCOM  “ acorda prioritate acțiunilor vizând siguranța echipamentelor, precum și celor vizând creșterea rezilienței și securității rețelelor publice de comunicații electronice și a rețelelor poștale. De asemenea, menține securizarea utilizării spectrului radio, prin acțiuni specifice de monitorizare și control.” ,În funcție de natura riscurilor identificate, pot interveni și ANPC, în calitate de autoritate pentru protecția consumatorilor, precum și DNSC, dacă apar indicii privind incidente de securitate cibernetică. La nivel european, ENISA coordonează schimbul de informații și cooperarea dintre statele membre, însă măsurile privind testarea, restricționarea sau retragerea produselor de pe piață sunt luate de autoritățile naționale competente.

În perioada următoare, atenția nu se va concentra doar asupra companiei Zbtlink. Întrebarea cu adevărat importantă este dacă ENDLESSDOORS reprezintă un caz izolat sau doar primul exemplu identificat într-o categorie mai largă de firmware-uri dezvoltate în regim OEM și ODM. Răspunsul la această întrebare va determina dacă asistăm la un incident punctual sau la începutul uneia dintre cele mai ample investigații privind securitatea routerelor comerciale din ultimii ani.