Des chercheurs de VulnCheck ont identifié trois implants cachés dans les micrologiciels de ZBT, capables de fournir un accès root sans authentification. Ces portes dérobées sont présentes sur du matériel vendu mondialement sous plusieurs marques.
ENDLESSDOORS présent dans 20 modèles ZBT, connexion toutes les 35 secondes
L’implant nommé ENDLESSDOORS a été repéré dans les firmwares de 20 modèles ZBT, dont les Z8102AX, WG3526 et WE826-T3-DSIM. Cet implant démarre automatiquement à la mise sous tension et tente un balisage régulier vers une infrastructure de commande et de contrôle située en Chine.
Les tentatives de contact surviennent jusqu’à toutes les 35 secondes, ce qui crée un trafic sortant facilement détectable sur des traces réseau. VulnCheck a observé des requêtes répétées vers des serveurs distants, permettant potentiellement le déploiement de commandes arbitraires en root.
Le comportement de ENDLESSDOORS inclut l’exécution de binaires téléchargés et la modification de la configuration système. Sur des réseaux d’entreprise, ces connexions fréquentes peuvent servir de canaux pour l’exfiltration de données ou la persistance.
Les opérateurs réseau doivent surveiller les logs NAT et DNS pour détecter des résolutions et des flux récurrents vers des domaines inconnus, et isoler les appareils concernés pour analyse forensique.
SPEAKINGSTONE et DARKLANTERN : CVE-2026-74232 et CVE-2026-74233
VulnCheck a attribué les références CVE-2026-74232 et CVE-2026-74233 aux implants SPEAKINGSTONE et DARKLANTERN. Les deux offrent un niveau d’accès critique, noté 9.3 sur la CVSS 4.0 et 9.8 sur la CVSS 3.1 selon l’équipe.
SPEAKINGSTONE effectue un beaconing vers un serveur de commande, permettant l’exécution de commandes à distance sans authentification. DARKLANTERN ouvre un écoute UDP sur le port 9992 avec une authentification facilement contournable, offrant un accès root pratique pour un attaquant.
Des opérations de sinkhole ont permis d’identifier plusieurs centaines de connexions vers un domaine de secours ; la majorité provenait de Chine, la plupart sur les réseaux de China Mobile. Ces observations suggèrent une activité active et coordonnée.
Les correctifs nécessitent des mises à jour de firmware fournies par les revendeurs OEM ou des mesures de filtrage au niveau du réseau pour bloquer les canals C2 et isoler les appareils affectés.
Distribution mondiale sous des marques indépendantes, identification difficile
Le matériel ZBT est vendu en marque blanche et réétiqueté par des acteurs comme Lippert Components, Wave WiFi, MoFI Network, OneX et Digineo. L’acheteur final ignore souvent l’origine réelle de l’appareil.
Cette revente complique la traçabilité : un routeur acheté en Australie ou en Allemagne peut contenir le même firmware ZBT fabriqué en Chine. Les chaînes d’approvisionnement OEM rendent la notification des clients finaux laborieuse.
Pour les administrateurs, l’inventaire MAC/firmware et la vérification des empreintes binaires sont des étapes nécessaires pour repérer les firmwares compromis. Les vendeurs doivent publier des listes de modèles et des firmwares corrigés pour permettre des mises à jour sûres.
Sans visibilité sur l’origine matérielle, les opérateurs restent exposés, en particulier dans les PME et les installations mobiles où le remplacement matériel est long et coûteux.
Estimation d’impact : ~100 000 unités déployées, risque pour les entreprises
Le directeur technique de VulnCheck, Jacob Baines, estime à environ 100 000 le nombre d’unités ZBT déployées mondialement, majoritairement au sein de réseaux d’ entreprise. Ce chiffre s’appuie sur des échantillonnages d’appareils et des données de télémetrie réseau.
Un appareil compromis dans un réseau d’entreprise peut donner accès latéral aux ressources internes, services cloud ou données sensibles. Les implants connus permettent l’exécution de code en root et la persistance, augmentant le risque d’attaques ciblées.
Les actions recommandées incluent l’inventaire des équipements, l’installation de règles IDS/IPS pour bloquer le beaconing C2, et la mise en place de listes blanches de firmwares approuvés. Le remplacement du matériel non patchable doit être priorisé.
Enfin, les organisations devraient signaler toute découverte à leurs fournisseurs et envisager des audits indépendants pour vérifier l’absence d’implants supplémentaires.
