VulnCheck paskelbė du anksčiau nedokumentuotus gamyklinius implantus Shenzhen Zhibotong Electronics (ZBT) maršrutizatorių programinėje įrangoje. Abu suteikia neautentifikuotam atakuotojui root komandų vykdymą. SPEAKINGSTONE (CVE-2026-74232, CVSS 9.8) veikia kaip yunmgrd: siunčia išeinantį UDP/10000 beacon į ac-link.com (atsarginis domenas findmyipaddr.com; VulnCheck sinkhole iki 2026-08-21 fiksuoto 392 įrenginius, dauguma Kinijoje) ir gali vykdyti komandas, vogti PPPoE kredencialus, perimti DNS bei atidaryti atvirkštinį SSH. DARKLANTERN (CVE-2026-74233, CVSS 9.8) veikia kaip infosrvd: klausosi WAN UDP/9992 (numatytoji ugniašienė leidžia iš interneto), protokolas nešifruotas, root shell pasiekiamas vienu paketu (MAC filtras apeinamas nuliniais baitais). VulnCheck 2026-08-18–21 skenavimas rado 203 internetui matomus DARKLANTERN atvejus 22 šalyse (JAV — 103). ZBT technika platinama kaip white-label (pvz. Deep Orange per Amazon, Lippert, Wave WiFi, OneX, Digineo ir kt.); ne visi prekių ženklai turi implantus. Tai trečias implantų rinkinys po anksčiau aprašyto ENDLESSDOORS. Oficialios pataisos nėra. Atskiros kriminalinės išnaudojimo kampanijos VulnCheck nepatvirtino, bet pirminis C2 ac-link.com gyvas, o DARKLANTERN atakos plokštuma atvira internete.
Rekomendacija: inventorizuokite 4G/LTE CPE ir white-label maršrutizatorius (MAC prefiksai 78:A3:51 ir F8:5E:3C). Blokuokite įeinantį UDP/9992 ir stebėkite DNS bei išėjimą į ac-link.com ir findmyipaddr.com. Jei įtariate ZBT arba MoreQuick firmware jautrioje aplinkoje — keiskite įrangą; laikino lopymo gamintojas nepaskelbė.
Šaltinis: https://www.vulncheck.com/blog/zbt-darklantern-speakingstone
Papildomai: https://securityonline.info/zbt-router-backdoor/
Papildomai: https://thehackernews.com/2026/08/china-made-zbt-routers-ship-with-two.html
Source: r/KibernetinisSaugumas · by /u/Sarunas