Tylne drzwi były w routerze, zanim otworzyłeś pudełko

Router mobilny za 88 dolarów sprzedawany na Amazonie jako Deep Orange 3G/4G/LTE okazuje się przemarkowanym ZBT WE826-T2. W jego oprogramowaniu, zbudowanym w 2019 roku i wysyłanym do dziś, VulnCheck znalazł dwie usługi, których nikt nie zamawiał.

Badanie ukazało się 28 sierpnia i nazywa je SPEAKINGSTONE oraz DARKLANTERN. Pierwsza wysyła sygnały do zaszytego na stałe serwera sterującego przez port UDP 10000 i czeka na polecenia: wykonać komendy jako root, ukraść dane logowania wpisane dla twojego łącza internetowego, otworzyć tunel z powrotem do środka albo zmienić DNS routera tak, by każdą stronę odwiedzaną w domu można było po cichu przekierować. Druga nasłuchuje na porcie UDP 9992 na każdego w internecie, komu zechce się zapukać, a zapora routera jest ustawiona tak, żeby go przepuścić. Jej uwierzytelnianie to stały klucz wpisany w oprogramowanie, czyli inaczej mówiąc, żadne. Obie mają identyfikatory CVE-2026-74232 i CVE-2026-74233, ocenione powyżej 9 na 10.

Niewygodna jest kwestia metki. Sprzęt ZBT sprzedawany jest dalej jako Wave WiFi, Lippert WiFi On-The-Go, MOFI, Digineo, KuWFi, Cioswi i inne, w Stanach Zjednoczonych, Kanadzie, Australii, Niemczech i poza nimi, często w kamperach, na łodziach i w domach wakacyjnych. Wcześniejszy implant znaleziony w tym oprogramowaniu ZBT opisywał kiedyś jako narzędzie serwisu posprzedażowego. O tych dwóch nie powiedział nic.

Nie ma na co czekać, bo poprawki nie będzie: jeśli któraś z tych nazw jest na pudełku, uczciwa odpowiedź brzmi wymienić urządzenie. Większość domów takiego nie ma, ale prawie każdy dom ma w sieci coś, o czym zapomniał. Skanowanie sieci w Tendvane wypisuje, co naprawdę odpowiada w twoim Wi-Fi, a niespodzianki są tu całym sensem.