Uma descoberta em roteadores fabricados pela chinesa Zbtlink levantou um alerta sobre a segurança de equipamentos que ocupam uma das posições mais sensíveis de qualquer rede: a conexão entre dispositivos internos e a internet.
Pesquisadores da empresa de cibersegurança VulnCheck identificaram uma funcionalidade oculta, batizada de ENDLESSDOORS, capaz de fornecer acesso remoto com privilégios de root sem autenticação adequada. A análise encontrou o componente em 21 imagens de firmware, abrangendo mais de 20 modelos da fabricante e um período superior a dois anos.
A Zbtlink contesta a classificação do recurso como uma backdoor intencionalmente maliciosa. A fabricante afirma que a funcionalidade foi desenvolvida para manutenção e suporte pós-venda. Após a divulgação, entretanto, suspendeu vendas de modelos afetados e iniciou medidas para corrigir os problemas de segurança.
O caso é particularmente relevante porque o mecanismo não depende de o criminoso explorar primeiro outra vulnerabilidade do roteador. Segundo os pesquisadores, ele está presente no próprio firmware distribuído pela fabricante.
ENDLESSDOORS inicia junto com o roteador
A investigação começou quando Jacob Baines, CTO da VulnCheck, analisou um equipamento Zbtlink e percebeu que o dispositivo tentava continuamente estabelecer comunicação com infraestrutura externa.
O componente identificado pelos pesquisadores utiliza uma ferramenta chamada rctl, ou Remote Control Linux.
O software funciona em uma arquitetura cliente-servidor e permite a execução remota de comandos.
Segundo a análise, o mecanismo é iniciado automaticamente pelo próprio sistema do roteador e tenta estabelecer contato com servidores externos em intervalos que podem chegar a aproximadamente 35 segundos.
A VulnCheck chamou esse conjunto de comportamentos de ENDLESSDOORS.
Falta de autenticação torna o mecanismo perigoso
O problema central está na forma como essa comunicação foi implementada.
Segundo a VulnCheck, não existe uma verificação adequada entre cliente e servidor.
Na prática, alguém capaz de assumir o controle da infraestrutura utilizada pela comunicação ou interferir no caminho da conexão poderia potencialmente enviar comandos para o equipamento.
O acesso pode resultar em um shell com privilégios de root, nível máximo de controle em sistemas Linux.
Ter root em um roteador significa poder modificar configurações, executar programas e interferir no funcionamento do equipamento.
O atacante deixa de estar diante de uma aplicação comum e passa a controlar justamente o dispositivo responsável por encaminhar o tráfego da rede.
Mais de 20 modelos foram associados ao problema
A VulnCheck informou ter encontrado o componente nas 21 imagens de firmware disponíveis para análise, abrangendo mais de 20 modelos.
Os arquivos analisados cobriam mais de dois anos de firmware distribuído pela fabricante.
Os equipamentos da Zbtlink são comercializados internacionalmente e também aparecem sob marcas como ZBT, ZBTWiFi e Wiflyer. A empresa trabalha ainda com fabricação OEM e ODM, modelo no qual o hardware pode ser personalizado e vendido por terceiros.
Esse aspecto torna mais difícil determinar com precisão quantos equipamentos potencialmente relacionados à plataforma estão em circulação.
A VulnCheck estima que pelo menos 100 mil roteadores da fabricante estejam em uso globalmente. Isso não significa, porém, que todos tenham sido comprometidos ou explorados.
Zbtlink diz que recurso era destinado ao suporte técnico
A fabricante apresentou uma explicação diferente para a existência do componente.
A Zbtlink afirmou que o recurso seria destinado exclusivamente à manutenção pós-venda e utilizado para auxiliar clientes em processos de depuração.
A empresa também disse que essa funcionalidade deveria permanecer apenas em unidades de amostra e não seria destinada aos produtos fabricados em massa.
Posteriormente, a fabricante reconheceu problemas de segurança na implementação e informou que o recurso de suporte deveria funcionar mediante autorização do usuário. A companhia afirmou que ele nunca foi projetado para fornecer acesso não autorizado.
Portanto, é importante diferenciar duas questões.
A existência do mecanismo no firmware foi demonstrada pelos pesquisadores.
Já não há evidência pública conclusiva de que a Zbtlink tenha criado o recurso com a intenção de espionagem ou de realizar ataques contra usuários.
A controvérsia está principalmente na implementação insegura e na presença da funcionalidade nos firmwares analisados.
Fabricante suspendeu vendas e retirou firmwares
Depois da divulgação, a Zbtlink adotou medidas relacionadas aos equipamentos atingidos.
Segundo a Reuters, a empresa suspendeu as vendas de pelo menos 20 modelos e passou a trabalhar em atualizações para solucionar as vulnerabilidades.
A companhia também retirou temporariamente versões de firmware de seus canais de download enquanto desenvolvia e validava correções.
Essa resposta aumenta a importância de proprietários desses equipamentos verificarem exatamente qual modelo e versão de firmware utilizam.
Por que acesso root ao roteador é tão crítico?
O roteador possui uma posição privilegiada na infraestrutura.
Praticamente todo o tráfego entre a rede local e a internet passa por ele.
Um invasor com controle administrativo do dispositivo pode utilizar essa posição para diferentes finalidades.
Dependendo da configuração da rede e dos demais mecanismos de segurança existentes, isso pode permitir alteração de DNS, redirecionamento de tráfego, instalação de componentes adicionais, criação de persistência e utilização do equipamento como parte de uma botnet.
O roteador também pode servir como ponto inicial para tentar alcançar outros dispositivos conectados à mesma rede.
Isso não significa que obter root no roteador automaticamente forneça acesso a todos os computadores e smartphones conectados. Sistemas modernos possuem suas próprias camadas de proteção.
Ainda assim, controlar o gateway representa uma posição extremamente vantajosa para um atacante.
O próprio roteador procura o servidor externo
Outro aspecto relevante do ENDLESSDOORS é a direção da comunicação.
Não é necessariamente o atacante que precisa iniciar uma conexão diretamente da internet contra o roteador.
O equipamento realiza conexões de saída.
Isso pode ajudar a atravessar determinadas barreiras criadas por NAT e firewalls, já que conexões iniciadas de dentro da rede normalmente recebem tratamento diferente das conexões externas inesperadas.
Segundo os pesquisadores, os dispositivos analisados tentavam se comunicar com quatro endpoints externos.
Um deles utilizava um domínio associado à própria Zbtlink.
Para a VulnCheck, essa característica reforça a interpretação de que o mecanismo fazia parte do projeto do firmware, em vez de representar uma infecção posterior por terceiros.
Acesso ao servidor pode significar controle dos roteadores
O desenho da ferramenta gera outro risco.
Se não existe autenticação robusta entre o componente instalado no roteador e o servidor, a segurança de toda a estrutura passa a depender fortemente do controle dos endpoints utilizados pelo sistema.
Um invasor que assumisse um desses destinos poderia, em determinadas condições, interagir com dispositivos que tentassem se conectar a ele.
Isso transforma a infraestrutura de suporte em potencial ponto único de comprometimento.
Mesmo que a funcionalidade tenha sido originalmente criada para manutenção legítima, uma implementação desse tipo pode oferecer capacidade semelhante à de uma backdoor caso a infraestrutura seja sequestrada.
Há evidências de exploração?
Até o momento das investigações divulgadas, não havia confirmação pública de que o ENDLESSDOORS estivesse sendo utilizado em larga escala para comprometer usuários.
Também permanece incerta a finalidade histórica de todas as conexões observadas.
Esse cuidado é importante porque encontrar uma capacidade de acesso remoto não significa automaticamente provar que ela foi utilizada em ataques.
O risco, entretanto, existe pela própria arquitetura encontrada pelos pesquisadores.
Roteadores OEM aumentam o desafio
O caso chama atenção também pelo modelo de negócios da Zbtlink.
A fabricante oferece serviços OEM e ODM, permitindo que outras empresas personalizem equipamentos e softwares antes de comercializá-los.
A própria companhia afirma que clientes podem utilizar softwares desenvolvidos por eles em vez do firmware padrão da Zbtlink.
Isso significa que não é possível presumir que todo equipamento baseado em hardware da fabricante possua o mesmo firmware vulnerável.
Por outro lado, também torna mais difícil para pesquisadores e consumidores rastrearem toda a cadeia de produtos que pode utilizar componentes semelhantes.
O problema das funções ocultas de manutenção
A discussão envolvendo a Zbtlink toca em uma questão antiga da cibersegurança.
Fabricantes frequentemente precisam oferecer mecanismos de diagnóstico, recuperação e suporte remoto.
O problema surge quando essas funções são implementadas de forma invisível para o proprietário ou sem controles robustos de autenticação.
Uma ferramenta criada para facilitar o suporte técnico pode oferecer praticamente a mesma capacidade desejada por um invasor.
A diferença passa a depender de quem consegue acioná-la.
Por isso, recursos de manutenção remota precisam utilizar autenticação forte, criptografia, autorização explícita e mecanismos claros de auditoria.
O que usuários e empresas devem fazer
Para organizações que identificarem equipamentos Zbtlink ou derivados em sua infraestrutura, o primeiro passo é levantar modelo, firmware e função desempenhada pelo dispositivo.
A VulnCheck recomenda substituir equipamentos afetados ou, no mínimo, colocá-los atrás de controles rigorosos de tráfego de saída e tratar a rede associada como não confiável.
Como a fabricante está trabalhando em firmware corrigido, usuários também devem acompanhar os canais oficiais para verificar a disponibilidade de versões atualizadas.
Em ambientes corporativos sensíveis, simplesmente bloquear um endereço de comando e controle específico não resolve necessariamente todo o problema: o firmware que contém uma função remota insegura continua sendo um fator de risco.
Não há confirmação específica de impacto no Brasil
Os roteadores são comercializados globalmente, mas as informações disponíveis não permitem afirmar quantos equipamentos afetados estão atualmente em funcionamento no Brasil.
Também não existem evidências apresentadas pelos pesquisadores indicando uma campanha direcionada especificamente contra usuários brasileiros.
Mesmo assim, o episódio é relevante para empresas brasileiras que compram equipamentos de rede importados, white-label ou provenientes de cadeias OEM.
Nesses ambientes, identificar quem realmente fabricou o hardware e quem mantém o firmware é uma etapa importante da gestão de risco.
Segurança do firmware precisa entrar na cadeia de fornecedores
O caso ENDLESSDOORS demonstra que proteger uma rede não significa apenas configurar corretamente o firewall.
Se uma funcionalidade perigosa já estiver presente no firmware do equipamento, a ameaça pode existir antes mesmo da primeira configuração realizada pelo usuário.
Isso coloca a segurança da cadeia de suprimentos de hardware no centro da discussão.
Empresas precisam avaliar não apenas preço, desempenho e recursos de seus equipamentos de rede, mas também histórico do fornecedor, política de atualizações, transparência do firmware e capacidade de responder rapidamente a vulnerabilidades.
Um roteador é a porta de entrada e saída de praticamente toda a rede. Confiar no software que controla esse equipamento é tão importante quanto proteger os sistemas que estão atrás dele.
