Pesquisadores de cibersegurança encontraram novos backdoors em roteadores Zbtlink, fabricante chinesa cujos equipamentos também chegam ao mercado internacional por meio de outras marcas. Segundo a VulnCheck, os mecanismos permitem acesso remoto avançado e, em determinados casos, poderiam até redirecionar o tráfego que passa pelo dispositivo.
A descoberta amplia um problema revelado no início de agosto, quando pesquisadores identificaram outro mecanismo chamado Endlessdoors em mais de 20 modelos da fabricante. Agora, a análise encontrou duas estruturas adicionais, batizadas de Darklantern e Speakingstone.
A Zbtlink contesta a interpretação dos pesquisadores. Segundo a empresa, os recursos de acesso remoto existem para manutenção autorizada e suporte pós-venda e não representam riscos de segurança.
Como funcionam os backdoors em roteadores Zbtlink
Os dois mecanismos encontrados possuem características diferentes.
O Darklantern recebe conexões externas e permite a execução de comandos no roteador. Segundo a VulnCheck, o sistema não exige autenticação tradicional e pode fornecer acesso com privilégios elevados ao dispositivo.
Entre 18 e 21 de agosto, pesquisadores encontraram 203 dispositivos expostos à internet em 22 países respondendo às verificações relacionadas ao Darklantern. Os equipamentos identificaram 16 modelos diferentes durante a análise.
Isso aumenta a preocupação porque o roteador ocupa uma posição privilegiada dentro de uma rede. Praticamente todo o tráfego de celulares, computadores, câmeras, dispositivos IoT e outros equipamentos conectados pode passar por ele.
Consequentemente, quem controla o roteador pode ganhar uma posição estratégica para observar ou interferir na comunicação de outros dispositivos.
Speakingstone funciona mesmo atrás de firewalls
O Speakingstone utiliza outra estratégia.
Em vez de esperar uma conexão externa, o próprio roteador inicia periodicamente uma comunicação com uma infraestrutura remota e aguarda instruções.
Esse modelo é conhecido como phone home. Na prática, ele pode funcionar mesmo quando o dispositivo está atrás de NAT, firewall ou outras barreiras que normalmente impediriam uma conexão iniciada diretamente pela internet.
Segundo a VulnCheck, os equipamentos enviavam informações como modelo do aparelho, versão do firmware, endereço MAC, nome da rede Wi-Fi, endereço IP e tempo de funcionamento.
Além disso, os pesquisadores afirmam que o mecanismo possui comandos capazes de alterar configurações de rede e potencialmente redirecionar tráfego.
Por isso, Jacob Baines, diretor de tecnologia da VulnCheck, classificou o Speakingstone como um “implante de vigilância”.
Essa classificação, porém, representa a avaliação do pesquisador. A Zbtlink rejeita a interpretação de que seus mecanismos tenham finalidade maliciosa.
Pesquisadores assumiram domínio usado pelos roteadores
Uma das partes mais incomuns da investigação começou quando a VulnCheck percebeu que alguns equipamentos tentavam acessar um domínio que já não possuía registro ativo.
Os pesquisadores registraram esse endereço e passaram a receber automaticamente as conexões enviadas pelos roteadores.
Até 21 de agosto, 392 dispositivos únicos haviam se conectado ao domínio controlado pela equipe. Desses, 390 estavam na China.
A grande concentração chamou atenção dos pesquisadores. Além disso, 83% dos equipamentos identificados utilizavam a rede da China Mobile, enquanto 363 dispositivos compartilhavam o mesmo modelo e a mesma versão de firmware.
Com base nesse padrão, a VulnCheck levantou a hipótese de que o Speakingstone tenha sido implantado em escala dentro da China.
No entanto, as informações disponíveis não comprovam quem controlava a infraestrutura nem qual era sua finalidade original. Portanto, não é possível concluir apenas pelos dados técnicos que existia uma operação governamental de vigilância.
Roteadores podem aparecer com outras marcas
Outro ponto importante envolve a cadeia de fornecimento.
Muitos consumidores provavelmente nunca ouviram falar da Zbtlink. Porém, isso não significa que nunca tenham utilizado equipamentos fabricados pela empresa.
A VulnCheck encontrou hardware da fabricante comercializado por diferentes fornecedores e marcas em países como Estados Unidos, Canadá, Austrália, Alemanha, Filipinas e Rússia.
Esse modelo de negócios é comum no setor. Uma fabricante produz o equipamento e outras empresas aplicam sua própria marca antes de colocá-lo no mercado.
Consequentemente, identificar um produto afetado apenas pelo logotipo na carcaça pode não ser suficiente.
Um dos roteadores analisados pelos pesquisadores, por exemplo, foi vendido nos Estados Unidos por outra companhia, embora internamente utilizasse hardware da Zbtlink.
Por isso, empresas precisam conhecer não apenas a marca comercial de seus equipamentos, mas também o modelo, o fabricante original e a versão do firmware.
Problema se soma ao Endlessdoors descoberto em agosto
Esta não é a primeira descoberta envolvendo os roteadores da empresa.
No início de agosto, a VulnCheck revelou o Endlessdoors, outro mecanismo de acesso remoto encontrado em mais de 20 modelos da Zbtlink.
Esse componente iniciava automaticamente uma conexão com um servidor remoto e funcionava com privilégios elevados. Segundo os pesquisadores, falhas na implementação também poderiam permitir que terceiros assumissem o controle da comunicação.
Depois da divulgação, a Zbtlink suspendeu a venda dos modelos afetados e removeu softwares de seu site. A fabricante afirmou que a funcionalidade servia para suporte técnico remoto autorizado e que não conhecia casos de uso malicioso.
Agora, a descoberta de Darklantern e Speakingstone mostra que mecanismos semelhantes já existiam em versões mais antigas do firmware.
O que é um backdoor em um roteador
Um backdoor é um mecanismo que permite acessar um sistema por um caminho diferente dos controles normais de autenticação e segurança.
Nem todo recurso de administração remota representa automaticamente um backdoor malicioso. Fabricantes podem criar sistemas legítimos para manutenção e suporte técnico.
O problema surge quando esse acesso funciona sem conhecimento suficiente do usuário, utiliza autenticação fraca ou oferece privilégios maiores do que o necessário.
No caso de um roteador, o risco aumenta porque o dispositivo funciona como porta de entrada e saída da rede.
Esse debate sobre mecanismos escondidos de comunicação não se limita aos roteadores. A APIBrasil também analisou o caso em que autoridades chinesas apontaram um possível backdoor no Claude Code, embora a Anthropic tenha contestado aquela classificação.
Nos dois casos, a discussão destaca a necessidade de transparência sobre conexões externas, telemetria e mecanismos de administração presentes nos produtos.
Empresas devem prestar mais atenção aos roteadores
Um equipamento de rede muitas vezes permanece anos em funcionamento sem receber a mesma atenção dedicada a computadores e servidores.
Isso cria um risco. Firmwares antigos podem manter vulnerabilidades conhecidas, serviços desnecessários e mecanismos que a equipe de segurança desconhece.
Primeiramente, empresas devem identificar todos os roteadores e equipamentos de rede utilizados. Depois, precisam registrar fabricante, modelo e versão do firmware.
Além disso, vale verificar conexões de saída realizadas pelos dispositivos. Um roteador tentando continuamente acessar domínios desconhecidos pode justificar uma investigação.
Segmentar a rede também ajuda. Dispositivos IoT, sistemas administrativos e equipamentos críticos não precisam necessariamente permanecer no mesmo segmento.
A lógica é semelhante à aplicada em outros ambientes. O caso da falha no Azure Cosmos DB mostrou como a separação entre sistemas e clientes representa uma camada importante para limitar o impacto de uma falha.
Descoberta reforça risco na cadeia de fornecimento
Os backdoors em roteadores Zbtlink mostram que segurança de rede não depende apenas de senhas fortes e firewalls.
Empresas também precisam avaliar os equipamentos que compram, a procedência do firmware e os mecanismos de comunicação implementados pelos fabricantes.
Além disso, equipamentos revendidos com outras marcas dificultam a identificação dos produtos afetados. Por isso, inventário de hardware, atualização de firmware e monitoramento de tráfego precisam fazer parte da estratégia de segurança.
A Zbtlink afirma que suas funções de acesso remoto servem apenas ao suporte autorizado e não oferecem risco. Entretanto, a VulnCheck sustenta que os mecanismos encontrados permitem níveis de controle incompatíveis com uma implementação segura de manutenção remota.
Agora, administradores e empresas que utilizam equipamentos relacionados à fabricante precisam verificar os modelos instalados e acompanhar novas orientações de segurança.
Para desenvolver integrações e conectar serviços de forma estruturada, acesse a documentação da APIBrasil e conheça os recursos disponíveis.
