Telset.id – Peneliti keamanan menemukan tiga implant backdoor yang tertanam langsung di firmware router buatan Shenzhen Zhibotong Electronics, atau yang lebih dikenal sebagai ZBT. Temuan ini menjadi peringatan serius karena hardware ZBT dijual di seluruh dunia dengan berbagai merek, sehingga pengguna mungkin tidak menyadari bahwa mereka menggunakan router ZBT.
Riset yang dipublikasikan oleh firma keamanan VulnCheck ini berawal dari pemeriksaan router Zbtlink AX3000. Para peneliti menemukan bahwa firmware router tersebut mengandung implant yang mereka sebut ENDLESSDOORS, yang secara otomatis menghubungi server command-and-control dan dapat mengeksekusi perintah arbitrer sebagai root. VulnCheck telah menetapkan isu ini sebagai CVE-2026-66747 dengan skor CVSS 9.3.
ENDLESSDOORS pada dasarnya adalah sistem kendali jarak jauh yang tertanam langsung di firmware router. Implant ini aktif secara otomatis saat boot dan menyamar sebagai proses kernel Linux normal bernama kworker. Router secara berkala terhubung ke server yang sudah di-hardcode dan mengumumkan kehadirannya. Tidak ada autentikasi atau enkripsi yang berarti dalam komunikasi ini.
Perintah yang diterima dari server langsung diteruskan ke shell yang berjalan sebagai root, dan implant ini juga dapat membuat shell root interaktif. VulnCheck mendemonstrasikan masalah ini dengan menyamar sebagai server perintah dan mengambil kendali penuh atas router uji mereka sendiri. Ini bukan hanya kerentanan teoretis; jika penyerang dapat membajak koneksi ke server perintah implant, mereka bisa mendapatkan kendali penuh atas router.
Para peneliti menemukan ENDLESSDOORS tertanam di firmware untuk 20 model ZBT, termasuk Z8102AX, WG3526, WE826-T3-DSIM, dan beberapa router seluler lainnya. Hardware yang sama juga dijual dengan nama lain karena ZBT memproduksi router untuk pelanggan OEM dan ODM.
Dua Implant Tambahan Ditemukan
Investigasi VulnCheck tidak berhenti sampai di situ. Mereka kemudian membeli router seluler Deep Orange seharga $88 dari penjual Amazon AS dan menemukan bahwa perangkat tersebut sebenarnya adalah ZBT-WE826-T2 bermerek putih. Firmware-nya dari tahun 2019 terlalu lama untuk mengandung ENDLESSDOORS, tetapi sebagai gantinya, router itu mengandung dua implant lain yang mereka sebut DARKLANTERN dan SPEAKINGSTONE.
DARKLANTERN adalah implant yang paling sederhana. Beroperasi sebagai layanan infosrvd, implant ini membuka listener di WAN melalui UDP port 9992 dan menerima perintah langsung dari Internet tanpa autentikasi. Penyerang hanya perlu mengirim probe info 19-byte untuk memaksa router mengungkapkan informasi identitas seperti model, versi firmware, alamat MAC, dan uptime.
Mekanisme keamanan backdoor ini ternyata bisa dengan mudah ditembus. Checksum payload perintahnya bergantung pada salt statis yang di-hardcode, dan filter alamat MAC internalnya dapat sepenuhnya diabaikan hanya dengan mengirimkan kolom MAC berisi nol semua. Ini memungkinkan penyerang jarak jauh untuk dengan mudah memalsukan paket dan mengeksekusi perintah arbitrer sebagai root.
VulnCheck memindai Internet dan menemukan 203 instance DARKLANTERN yang terekspos di 22 negara, tersebar di 16 model router. Sementara itu, SPEAKINGSTONE bekerja dengan cara berbeda dan bahkan lebih mengkhawatirkan.
SPEAKINGSTONE dan Risiko yang Lebih Besar
Alih-alih menunggu penyerang terhubung ke port listening, SPEAKINGSTONE berjalan sebagai layanan yunmgrd dan secara berkala mengirim beacon keluar ke infrastruktur command-and-control ZBT melalui UDP port 10000. Ini membuatnya berguna bahkan ketika router berada di belakang NAT atau firewall, karena mengandalkan format khusus yang disebut “zbtProtocol” untuk mengirim sidik jari perangkat lengkap langsung ke server jarak jauh.
SPEAKINGSTONE juga jauh lebih mampu daripada sekadar menyediakan shell jarak jauh. Menurut VulnCheck, protokol perintahnya memungkinkan operator jarak jauh untuk mengeksekusi perintah arbitrer, mencuri kredensial PPPoE WAN, menulis ulang daftar hijack DNS, dan membuat tunnel SSH terbalik.
Para peneliti juga menemukan domain server perintah cadangan yang tertanam di malware yang belum didaftarkan siapa pun, jadi mereka mendaftarkannya sendiri. VulnCheck menyiapkan server yang mampu berbicara dengan protokol SPEAKINGSTONE di domain yang baru didaftarkan dan mengamati router yang terinfeksi mulai menghubunginya. Hingga 21 Agustus, 392 perangkat unik telah terhubung ke sinkhole tersebut.
Sebanyak 390 dari 392 perangkat itu berlokasi di China, dengan mayoritas menggunakan jaringan China Mobile. Sebagian besar perangkat tersebut adalah model router yang sama dengan firmware yang sama, menunjukkan penyebaran operator skala besar daripada infeksi konsumen acak. VulnCheck menggambarkan penyebaran khusus ini sebagai “teknologi pengawasan domestik China.”
Dampak pada Pengguna Router OEM
Tidak semua router ZBT adalah perangkat pengawasan China. VulnCheck menemukan hardware ZBT dijual dengan berbagai merek independen di seluruh dunia, termasuk Lippert Components, Wave WiFi, OneX di Australia, MoFI Network di Kanada, Digineo di Jerman, dan lainnya. VulnCheck secara eksplisit mencatat bahwa beberapa firmware yang mereka periksa tidak mengandung implant tersebut.
Masalahnya adalah bisnis OEM ZBT membuat asal-usul hardware sulit diidentifikasi. Platform yang sama telah muncul dengan merek seperti WiFlyer, Deep Orange, Cioswi, CroSkylink, dan KuWFi, di antara lainnya. Bagian yang paling meresahkan bukanlah tiga kerentanan di router yang tidak jelas, melainkan bahwa ini bukan kerentanan konvensional.
Ini adalah perangkat lunak yang sengaja disertakan dalam firmware router untuk menyediakan akses jarak jauh ke perangkat. Biasanya kita menyebut ini malware, tetapi ZBT menggambarkan ENDLESSDOORS sebagai mekanisme dukungan teknis purna jual. Argumen VulnCheck cukup meyakinkan; apa pun tujuan yang dimaksudkan, mekanisme ini tidak mengautentikasi pihak yang mengendalikannya secara aman.
Penyerang yang dapat membajak komunikasi berpotensi menggunakan hak istimewa yang sama, dan karena hardware ZBT sering dijual dengan merek lain, hanya tidak membeli sesuatu dengan tulisan “ZBT” di kotaknya tidak cukup. Bagi pemilik perangkat yang terpengaruh, satu-satunya solusi nyata adalah menggantinya, karena lubang keamanan dipasang di pabrik; menginstal versi firmware yang berbeda tidak akan memulihkan kepercayaan.
Baca Juga:
Implikasi bagi Pengguna Router Murah
Bahkan jika perangkat tidak terdaftar, bagi siapa pun yang menjalankan router seluler murah, router perjalanan, router RV, atau perangkat keras jaringan lain dari OEM yang tidak jelas, perlu diingat bahwa merek pada plastik mungkin bukan perusahaan yang menulis firmware. Penulis firmware mungkin tidak memiliki nilai yang sama terkait kebebasan atau privasi.
Temuan ini menunjukkan bahwa rantai pasokan perangkat keras jaringan memiliki risiko keamanan yang serius. Kepercayaan pada merek tidak cukup ketika firmware ditulis oleh pihak ketiga yang mungkin memiliki agenda tersembunyi. Industri keamanan siber terus menyoroti pentingnya keamanan AI dan pengelolaan risiko, tetapi kasus ZBT menunjukkan bahwa masalah mendasar dalam rantai pasokan hardware masih menjadi tantangan besar.
VulnCheck menekankan bahwa mekanisme backdoor ini tidak mengautentikasi pihak yang mengendalikannya secara aman, sehingga siapa pun yang dapat membajak komunikasi berpotensi menggunakan hak istimewa yang sama. Ini berarti risiko tidak hanya dari ZBT sendiri, tetapi juga dari pihak ketiga yang mungkin mengeksploitasi celah ini.
Bagi konsumen, langkah paling aman adalah memeriksa daftar perangkat yang terpengaruh di blog VulnCheck dan segera mengganti router yang teridentifikasi. Untuk pembelian di masa depan, memilih router dari merek yang memiliki reputasi transparan dalam hal firmware dan keamanan menjadi semakin penting.
Kasus ini juga menjadi pengingat bahwa praktik keamanan siber yang baik harus mencakup audit terhadap perangkat keras jaringan, bukan hanya perangkat lunak. Deteksi ancaman dan pemantauan aktif menjadi semakin relevan di tengah meningkatnya kompleksitas ancaman siber.
Sementara industri terus mengembangkan solusi keamanan baru, kasus ZBT menunjukkan bahwa ancaman dari dalam rantai pasokan hardware tetap menjadi tantangan yang belum terselesaikan. Pengguna harus lebih waspada dan proaktif dalam mengamankan infrastruktur jaringan mereka.
Komentar
Belum ada komentar.