Investigadores de ciberseguridad encontraron puertas traseras de vigilancia en routers de operadores chinos fabricados por Zbtlink y el mismo software en otro router fabricado por Zbtlink y vendido a través de Amazon.
La ley china exige que las empresas de telecomunicaciones e Internet brinden asistencia técnica a la policía y a las agencias de seguridad del Estado.
En un informe del 27 de agosto, la empresa de ciberseguridad VulnCheck indicó que encontró dos programas ocultos en un enrutador de 88 dólares comprado a través de Amazon a un vendedor estadounidense.
Uno de ellos, al que los investigadores denominaron Speakingstone, envía información sobre el enrutador a un servidor remoto y puede recibir instrucciones para redirigir el tráfico de Internet, obtener credenciales de inicio de sesión o tomar el control del dispositivo.
No leas más noticias. Entiéndelas.
En Epoch Times Español queremos estar en contacto directo contigo
Seleccionamos para ti lo que de verdad importa, sin ruido ni agendas. Es un canal abierto: si nos escribes, te respondemos.
El segundo, denominado Darklantern, permite que alguien desde Internet tome el control de un enrutador afectado sin necesidad de una contraseña, según VulnCheck.
Posteriormente, los investigadores encontraron ambos programas operando en enrutadores que ya estaban conectados a Internet.
Estos hallazgos amplían la investigación de VulnCheck del 5 de agosto, que se centró en otra puerta trasera de Zbtlink, llamada ENDLESSDOORS, detectada en más de 20 modelos de enrutadores vendidos en todo el mundo.
Las puertas traseras recién descubiertas son más antiguas. VulnCheck las encontró en software de enrutadores que data de 2019, años antes de que se revelara la existencia de ENDLESSDOORS.
Speakingstone no era simplemente código inactivo alojado en el software de enrutadores antiguos. Todavía estaba en funcionamiento.
Jacob Baines, investigador de VulnCheck, registró una dirección de Internet abandonada con la que Speakingstone había sido programado para comunicarse. Según VulnCheck, los enrutadores comenzaron a enviar información a esa dirección casi de inmediato.
Para el 21 de agosto, 392 enrutadores se habían puesto en contacto con los investigadores. De ellos, 390 se encontraban en China, y el 83 por ciento estaban conectados a través de China Mobile. Otros 304 utilizaban nombres de Wi-Fi que comenzaban con "CMCC", la abreviatura comúnmente utilizada por China Mobile. Baines también detalló las cifras en una publicación del 27 de agosto en X.
La mayoría —363 de los 392 enrutadores— eran del mismo modelo y ejecutaban la misma versión de software.
Baines señaló que el patrón parecía indicar un gran despliegue de enrutadores proporcionados por un operador de telecomunicaciones a clientes dentro de China. VulnCheck lo describió como "tecnología de vigilancia nacional china".
Es posible que los 392 enrutadores representen solo una parte del despliegue. VulnCheck contó los dispositivos que intentaban conectarse a la dirección de respaldo abandonada; los enrutadores que ya se comunicaban con el servidor principal no habrían aparecido en ese recuento, explicó Baines.
Una puerta trasera podría redirigir el tráfico y robar credenciales
Speakingstone otorgaba a quien controlara su servidor remoto un amplio acceso a un enrutador afectado.VulnCheck señaló que un operador podría recopilar información sobre el dispositivo, obtener las credenciales que este utilizaba para conectarse a Internet, redirigir el tráfico de Internet y tomar el control del enrutador. Su aviso de seguridad también indica que el software puede abrir otra vía para el acceso remoto.
Baines describió a Speakingstone en su publicación del 27 de agosto como un software que "se comunica con la infraestructura de ZBT y permite la vigilancia remota". ZBT se refiere a Shenzhen Zhibotong Electronics, el fabricante chino de equipos de red conocido como Zbtlink.
Según VulnCheck, el software venía integrado en el enrutador, en lugar de haber sido instalado posteriormente por un hacker externo.
Darklantern proporcionaba otra vía de acceso a los dispositivos afectados. Según su aviso, VulnCheck indicó que cualquier persona que pudiera conectarse a uno de los enrutadores a través de Internet podría tomar el control sin necesidad de ingresar una contraseña válida.
La exposición en EE. UU. se extendió más allá del único enrutador que los investigadores compraron en Amazon.
VulnCheck encontró 203 enrutadores que ejecutaban Darklantern y a los que se podía acceder directamente desde Internet en 22 países. Más de la mitad —103— se encontraban en Estados Unidos. Los dispositivos se identificaron como 16 modelos diferentes de enrutadores ZBT.
Zbtlink vendido bajo otras marcas
El mismo software Speakingstone que se encontró en los enrutadores vinculados a China Mobile estaba presente en el enrutador Deep Orange que VulnCheck compró a través de Amazon en Estados Unidos.Los investigadores rastrearon el dispositivo hasta Zbtlink. Ese dispositivo también contenía Darklantern.
Zbtlink fabrica equipos que otras empresas pueden vender bajo diferentes nombres, lo que significa que es posible que los compradores no vean el nombre de Zbtlink en el producto.
VulnCheck rastreó el hardware de Zbtlink hasta marcas y productos vendidos en varios países, incluido Estados Unidos, pero advirtió que no todos los productos que utilizan hardware de Zbtlink contienen necesariamente las puertas traseras.
El descubrimiento se produce en un país donde las empresas de telecomunicaciones e Internet están legalmente obligadas a colaborar con la policía y las agencias de seguridad del Estado.
La Ley de Ciberseguridad de China exige a los operadores de redes que brinden apoyo técnico y asistencia para tareas de seguridad nacional e investigaciones penales.
El artículo 18 de la Ley Antiterrorista de China exige a los proveedores de telecomunicaciones e Internet que proporcionen a las agencias de seguridad pública y de seguridad del Estado interfaces técnicas, descifrado y otra asistencia técnica para las investigaciones sobre terrorismo.
Los relatos sobre el acceso de la policía a los sistemas de telecomunicaciones se remontan a décadas atrás.
Minghui, un sitio web con sede en EE. UU. que documenta la persecución a los practicantes de Falun Gong y publica relatos de primera mano desde China, ha documentado casos en los que los practicantes fueron detenidos después de que las autoridades monitorearan sus comunicaciones telefónicas o por Internet.
En un artículo de 2006, Minghui describió interfaces especiales de monitoreo policial que conectaban los equipos de telecomunicaciones chinos con los sistemas de seguridad pública. El relato indicaba que la policía podía utilizar los sistemas para rastrear llamadas e identificar a las personas con las que se comunicaba alguien bajo vigilancia.
El artículo se refería a una generación anterior de equipos de telecomunicaciones, dos décadas antes de las puertas traseras de Zbtlink recientemente reportadas.
Estados Unidos toma medidas
Los hallazgos se dieron a conocer meses después de que la Comisión Federal de Comunicaciones (FCC) tomara medidas para restringir la aprobación de nuevos enrutadores de consumo fabricados en el extranjero por motivos de seguridad nacional.El 23 de marzo, la FCC agregó los enrutadores de consumo producidos en el extranjero a su Lista de Productos Afectados, tras una determinación de seguridad nacional por parte de agencias del poder ejecutivo.
La medida impide la aprobación de nuevos modelos de enrutadores incluidos en la lista, a menos que se aplique una exención; los equipos ya autorizados pueden permanecer en el mercado.
La FCC señaló que actores maliciosos habían aprovechado vulnerabilidades en enrutadores de fabricación extranjera para atacar hogares estadounidenses, facilitar el espionaje y perturbar las redes. También indicó que los enrutadores de fabricación extranjera estuvieron involucrados en las campañas cibernéticas "Volt Typhoon", "Flax Typhoon" y "Salt Typhoon", dirigidas contra la infraestructura de EE. UU.
Al 28 de agosto, los avisos de VulnCheck no incluían versiones de software parcheadas para Speakingstone ni Darklantern, lo que dejaba a los propietarios de los enrutadores afectados sin una solución publicada.
