Deux portes dérobées supplémentaires ont été découvertes dans plus d’une douzaine de modèles de routeurs fabriqués par l’entreprise chinoise Zbtlink. Baptisées Darklantern et Speakingstone par les chercheurs de VulnCheck, elles permettent respectivement de commander l’appareil depuis Internet et de le faire communiquer avec un serveur distant. Certaines fonctions donnent accès à des informations sensibles, à l’exécution de commandes administrateur et à la modification du trafic réseau.
L’alerte est d’autant plus délicate que ces routeurs sont vendus sous plusieurs marques. VulnCheck a commencé son enquête avec un modèle Deep Orange acheté 88 dollars sur Amazon aux États-Unis. Sous cette étiquette se trouvait un ZBT-WE826-T2 équipé d’un micrologiciel datant de 2019. Les clients peuvent donc posséder le matériel concerné sans connaître le nom de son fabricant réel.
Darklantern accepte des commandes sans authentification
La première porte dérobée repose sur un service nommé infosrvd, accessible sur le port UDP 9992. Le pare-feu du routeur autorisait les connexions provenant d’Internet, sans chiffrement ni authentification normale. Une requête pouvait d’abord renvoyer le modèle, la version du micrologiciel, l’adresse MAC et la durée de fonctionnement de l’appareil.
Le même service acceptait ensuite des commandes exécutées avec les droits root, le niveau de privilège le plus élevé sous Linux. VulnCheck décrit un mécanisme reposant sur une clé statique et une adresse MAC entièrement nulle, ce qui évite d’avoir à connaître précisément l’appareil visé. Un attaquant capable d’atteindre le port exposé peut ainsi transformer le routeur en point d’appui à l’intérieur du réseau.
Des recherches menées du 18 au 21 août ont identifié 203 appareils accessibles depuis Internet dans 22 pays, répartis entre 16 modèles. Ce décompte ne représente que les routeurs visibles et répondant au protocole recherché. Il ne permet pas d’estimer tous les appareils installés derrière un autre pare-feu ou configurés différemment.
Speakingstone contacte lui-même une infrastructure distante
La seconde porte dérobée contourne justement cette limite. Speakingstone établit une connexion sortante vers un serveur de commande et de contrôle. Elle peut donc fonctionner derrière un système de traduction d’adresses ou un pare-feu qui bloque les connexions entrantes. Selon l’analyse technique de VulnCheck, le routeur transmet alors son modèle, son micrologiciel, son adresse MAC, le nom du réseau Wi-Fi, son adresse locale et, lorsqu’elles sont disponibles, des coordonnées GPS.
Le serveur distant peut lui demander d’exécuter des commandes, d’exfiltrer des identifiants PPPoE, de modifier les serveurs DNS ou d’ouvrir un tunnel SSH inversé. Un détournement DNS est particulièrement sensible : il permet de rediriger certaines requêtes vers des services contrôlés par l’attaquant, même si l’ordinateur ou le smartphone connecté au routeur ne contient initialement aucun logiciel malveillant.
VulnCheck a enregistré un domaine de secours laissé disponible par l’infrastructure et l’a transformé en puits de collecte afin d’observer les connexions sans envoyer de commandes. Au 21 août, 392 appareils uniques avaient contacté ce domaine, dont 390 depuis la Chine et environ 83 % via China Mobile. Le serveur principal demeurait actif ; le nombre total d’appareils susceptibles de communiquer avec lui reste donc inconnu.
Une chaîne d’approvisionnement difficile à cartographier
Les chercheurs relient le matériel observé à des revendeurs ou intégrateurs situés notamment aux États-Unis, au Canada, en Australie, aux Philippines, en Allemagne et en Russie. Cela ne signifie pas que tous leurs modèles sont affectés. La pratique de la marque blanche complique néanmoins l’inventaire : deux boîtiers différents peuvent embarquer la même carte, tandis qu’un nom commercial identique peut cacher plusieurs révisions.
Zbtlink soutient que les fonctions d’accès distant sont destinées au service après-vente autorisé et qu’elles ne créent pas de risque pour l’utilisateur. VulnCheck conteste cette présentation, en soulignant l’absence de consentement explicite, d’authentification solide et de protection du canal de communication. Une fonction de maintenance peut être légitime, mais elle devient une porte dérobée dangereuse lorsqu’un tiers peut l’utiliser sans contrôle individualisé.
Le problème dépasse Zbtlink. Le FBI avait déjà fait saisir des routeurs Cisco et Netgear compromis par le botnet KV Botnet, puis démantelé un réseau de 260 000 appareils connectés attribué à Flax Typhoon. Les routeurs anciens et peu suivis constituent des cibles durables parce qu’ils restent allumés, occupent une position centrale et reçoivent rarement des mises à jour.
Les propriétaires d’un routeur en marque blanche devraient vérifier la référence matérielle et la version du micrologiciel, désactiver l’administration distante lorsqu’elle n’est pas indispensable et demander au vendeur une mise à jour documentée. Si aucune maintenance fiable n’existe, le remplacement par un modèle suivi est la mesure la plus prudente. L’enquête montre surtout qu’un logo différent sur le boîtier ne suffit pas à garantir une chaîne logicielle différente sous le capot.
