Backdoor entdeckt: Weltweit verkaufte China-Router spähen Nutzer aus

In zahlreichen Routern des chinesischen Herstellers ZBT verbergen sich gefährliche Hintertüren. Die Geräte werden weltweit unter verschiedenen Markennamen verkauft und ermöglichen Angreifern die vollständige Kontrolle über das Netzwerk.

Gefahr durch OEM-Hardware

In den letzten Wochen gab es gleich mehrere Male besorgniserregende Neuigkeiten zu Routern. Zum einen machte der US-Provider Comcast kompatible Modelle mit einem Update mehr oder weniger zu Bewegungssensoren. Zum anderen wurden Backdoors in der Firmware von Routern des chinesischen Herstellers Tenda entdeckt. Jetzt steht zudem fest: Auch in Netzwerkgeräten des chinesischen Herstellers Shenzhen Zhibotong Electronics (ZBT) existieren alarmierende Sicherheitslücken.

Während die Router in Ländern wie den USA oder Russland häufig zum Einsatz kommen, sind sie auf dem deutschen Markt vergleichsweise selten anzutreffen. Die Hardware wird weltweit als OEM-Produkt unter vielen Markennamen vertrieben, was ein Risiko für Endanwender bedeutet, da sie den eigentlichen Hersteller oft nicht erkennen können. ZBT fertigt für zahlreiche Firmen, die lediglich ihr eigenes Logo auf die Router drucken. Zu den Kunden zählen Hotelketten, kleine Internetanbieter und Anbieter von Reise-Routern.

Drei Hintertüren entdeckt

Insgesamt drei Hintertüren verbergen sich in der Firmware der Geräte. Die schadhaften Programme starten automatisch beim Bootvorgang. Sie ermöglichen es externen Akteuren, ohne vorherige Authentifizierung vollständigen Root-Zugriff auf das System zu erlangen. Dadurch lassen sich beliebige Befehle ausführen, Daten abfangen oder Netzwerkeinstellungen manipulieren.

Das Betriebssystem der Router basiert meist auf OpenWrt, einer quelloffenen Linux-Distribution für eingebettete Systeme. Die Entwickler von ZBT haben den Code jedoch modifiziert und die Hintertüren tief in das System integriert. Die Schadprogramme tarnen sich teilweise als reguläre Systemprozesse, was eine Entdeckung durch einfache Scans erschwert.

Versteckte Spionagewerkzeuge

Entdeckt wurden die Schwachstellen durch die Sicherheitsforscher von VulnCheck. Wie sie in ihrer aktuellen Analyse berichten, begann die Untersuchung mit einem Testgerät. Die Forscher kauften für rund 88 US-Dollar (etwa 76 Euro) einen Mobilfunk-Router. Bei der Untersuchung der Software stießen sie auf die erste Hintertür namens "Endlessdoors". Das Programm baut selbstständig eine Verbindung zu Servern in China auf und wartet auf Befehle.

Zwei weitere Backdoors, "Darklantern" und "Speakingstone", fanden sich in anderen Firmware-Versionen. "Darklantern" öffnet einen Netzwerkport und nimmt Befehle direkt aus dem Internet entgegen. Der integrierte Schutzmechanismus lässt sich dabei einfach umgehen. "Speakingstone" agiert aktiver und sendet regelmäßig detaillierte Geräteinformationen an eine externe Infrastruktur. Die Forscher registrierten eine ungenutzte Serveradresse aus dem Quellcode und konnten so fast 400 infizierte Geräte identifizieren.

Hersteller beruft sich auf Support

Auf Nachfrage argumentiert der Hersteller ZBT, dass die Funktionen für den technischen Kundendienst nach dem Kauf gedacht seien. Solche 'Support-Zugänge' haben in der Vergangenheit bereits bei anderen Herstellern zu Problemen geführt. Ein Fernzugriff ohne angemessene Authentifizierung stellt grundsätzlich ein hohes Sicherheitsrisiko dar.

Ein Vorteil der OEM-Geräte ist der günstige Anschaffungspreis, der sie attraktiv macht. Der Nachteil ist augenscheinlich jedoch die Intransparenz bezüglich der installierten Software. Wer ein Modell einer unbekannten Marke nutzt, sollte die Systemprozesse genau prüfen. Im Zweifelsfall ist ein Austausch der Hardware der sicherste Weg. Welche Modelle betroffen sind, können besorgte Nutzer im Bericht von VulnCheck genau nachlesen.

Nutzt ihr selbst günstige OEM-Router oder setzt ihr lieber auf bekannte Markenhersteller wie Fritz? Teilt eure Erfahrungen in den Kommentaren!
Siehe auch: