Telset.id – Riset keamanan terbaru dari VulnCheck mengungkap tiga implant backdoor yang tertanam langsung di firmware router buatan Shenzhen Zhibotong Electronics (ZBT). Temuan ini menjadi peringatan serius karena hardware ZBT dijual di seluruh dunia di bawah berbagai merek, sehingga pengguna mungkin tidak menyadari perangkatnya berasal dari vendor yang sama.
Penelitian yang dipublikasikan VulnCheck ini berawal dari pemeriksaan router Zbtlink AX3000. Para peneliti menemukan implant yang dinamai ENDLESSDOORS di dalam firmware-nya. Implant ini secara otomatis menghubungi server command-and-control dan dapat mengeksekusi perintah arbitrer sebagai root, menjadikannya sistem kendali jarak jauh yang tertanam langsung di perangkat.
ENDLESSDOORS aktif sejak booting dan menyamar sebagai proses kernel Linux normal bernama kworker. Router secara berkala terhubung ke server hard-coded dan mengumumkan dirinya tanpa autentikasi atau enkripsi yang berarti. Perintah yang diterima dari server langsung diteruskan ke shell yang berjalan sebagai root, dan implant ini bahkan dapat membuat shell root interaktif. VulnCheck berhasil mendemonstrasikan masalah ini dengan menyamar sebagai server perintah dan mengambil alih kendali router uji mereka, membuktikan bahwa ini bukan sekadar kerentanan teoretis.
VulnCheck menemukan ENDLESSDOORS tertanam di firmware untuk 20 model ZBT, termasuk Z8102AX, WG3526, WE826-T3-DSIM, dan beberapa router seluler lainnya. Masalah ini telah diberi kode CVE-2026-66747 dengan skor CVSS 9.3. Namun, penyelidikan tidak berhenti di situ.
DARKLANTERN dan SPEAKINGSTONE pada Router Rebranded
VulnCheck kemudian membeli router seluler Deep Orange seharga US$88 dari penjual Amazon di Amerika Serikat. Router tersebut ternyata merupakan ZBT-WE826-T2 dengan label putih. Firmware-nya dari tahun 2019 terlalu lama untuk mengandung ENDLESSDOORS, tetapi ditemukan dua implant lain yang dinamai DARKLANTERN dan SPEAKINGSTONE.
DARKLANTERN beroperasi sebagai layanan infosrvd dan membuka listener di WAN melalui UDP port 9992. Implant ini menerima perintah langsung dari internet tanpa autentikasi. Penyerang hanya perlu mengirim probe info 19-byte untuk memaksa router mengungkap informasi identitas seperti model, versi firmware, alamat MAC, dan uptime. Mekanisme keamanannya pun dapat dibypass dengan mudah: checksum payload perintah mengandalkan salt hardcoded statis (“mqonu.com”), dan filter alamat MAC internal bisa dielakkan dengan mengirim field MAC semua nol. Ini memungkinkan penyerang mana pun memalsukan paket dan mengeksekusi perintah arbitrer sebagai root.
Pemindaian internet oleh VulnCheck menemukan 203 instance DARKLANTERN yang terpapar di 22 negara, tersebar di 16 model router.
Sementara itu, SPEAKINGSTONE bekerja berbeda dan lebih mengkhawatirkan. Alih-alih menunggu penyerang terhubung ke port listening, implant ini berjalan sebagai layanan yunmgrd dan secara berkala melakukan beacon outbound ke infrastruktur command-and-control ZBT melalui UDP port 10000. Ini membuatnya efektif bahkan ketika router berada di belakang NAT atau firewall. SPEAKINGSTONE menggunakan format khusus bernama “zbtProtocol” untuk mengirim sidik jari perangkat lengkap ke server jarak jauh.
Kemampuan SPEAKINGSTONE juga jauh lebih luas dari sekadar remote shell. Berdasarkan temuan VulnCheck, protokol perintahnya memungkinkan operator jarak jauh mengeksekusi perintah arbitrer, mencuri kredensial WAN PPPoE, menulis ulang daftar hijack DNS, dan membuat tunnel SSH terbalik.
Implikasi dan Dampak bagi Pengguna
Para peneliti juga menemukan domain server perintah cadangan yang tertanam di malware dan belum terdaftar. VulnCheck mendaftarkannya sendiri dan menyiapkan server yang mampu berbicara dengan protokol SPEAKINGSTONE di domain “www.findmyipaddr.com”. Hingga 21 Agustus, 392 perangkat unik terhubung ke sinkhole tersebut. Sebanyak 390 dari 392 perangkat berlokasi di China, dengan mayoritas menggunakan jaringan China Mobile. Sebagian besar perangkat tersebut adalah model router yang sama dengan firmware yang sama, mengindikasikan deployment operator skala besar, bukan infeksi konsumen acak. VulnCheck menyebut deployment ini sebagai “teknologi pengawasan domestik China”.
Namun, ini tidak berarti setiap router ZBT adalah perangkat pengawasan. VulnCheck menemukan hardware ZBT dijual di bawah berbagai merek independen di seluruh dunia, termasuk Lippert Components, Wave WiFi, OneX di Australia, MoFI Network di Kanada, Digineo di Jerman, dan lainnya. VulnCheck secara eksplisit mencatat bahwa sebagian firmware yang diperiksa tidak mengandung implant. Masalahnya, bisnis OEM ZBT membuat asal-usul hardware ini sulit diidentifikasi. Platform yang sama muncul di bawah merek WiFlyer, Deep Orange, Cioswi, CroSkylink, dan KuWFi.
Bagian yang paling meresahkan bukanlah tiga kerentanan di router yang kurang dikenal. Ini bukan kerentanan konvensional seperti buffer overflow yang tidak sengaja. Ini adalah perangkat lunak yang sengaja disertakan dalam firmware router untuk menyediakan akses jarak jauh ke perangkat. ZBT menggambarkan ENDLESSDOORS sebagai mekanisme dukungan teknis purna jual. Argumen VulnCheck cukup kuat: apa pun tujuan yang dimaksudkan, mekanisme ini tidak mengautentikasi pihak yang mengendalikannya secara aman. Penyerang yang bisa membajak komunikasi berpotensi menggunakan hak istimewa yang sama.
Karena hardware ZBT sering dijual di bawah merek lain, sekadar tidak membeli produk dengan label “ZBT” tidak cukup. Bagi pemilik perangkat yang terdampak, satu-satunya solusi nyata adalah menggantinya, karena lubang keamanan terpasang sejak pabrik. Memasang versi firmware berbeda tidak akan memulihkan kepercayaan. Bagi siapa pun yang menjalankan router seluler murah, router perjalanan, router RV, atau perangkat jaringan lain dari OEM yang kurang dikenal, perlu diingat bahwa merek di plastik mungkin bukan perusahaan yang menulis firmware, dan penulis firmware mungkin tidak memiliki nilai yang sama mengenai kebebasan atau privasi. Ancaman keamanan siber semacam ini menuntut kewaspadaan ekstra dalam memilih perangkat jaringan. Tren deteksi ancaman berbasis AI pun semakin relevan di tengah maraknya implant tersembunyi di perangkat keras.
Komentar
Belum ada komentar.