中国製ZBTlinkルーター20機種に工場出荷時バックドア「ENDLESSDOORS」 — 35秒ごとに外部へビーコン、認証なしでrootシェルを奪取可能

VulnCheckは2026年8月、中国のShenzhen Zhibotong Electronics（ZBTlink）が製造するルーターのファームウェアに、工場出荷時からバックドアが組み込まれていたと報告した。VulnCheckの最高技術責任者Jacob Baines氏によると、現在Zbtlinkのサイトで入手可能な21のファームウェアイメージすべてに同じ植え込みが存在し、対象は少なくとも20機種に及ぶ。バックドアは「ENDLESSDOORS」と名付けられ、起動時に自動で動作し、35秒ごとに中国の指令統制（C2）インフラへビーコンを送る。

何が見つかったか

VulnCheckの報告によると、ENDLESSDOORSの中核は「rctl（remote control linux）」と呼ばれる小さなツールだ。rctlは2015年1月14日にGitHubへ公開された後、更新されていない単純なC2クライアントとサーバーの実装で、サーバーはポート7000でクライアントからの接続を待ち、個別のシェルコマンド送信やリバースbashシェルの起動を指示できる。

ZbtlinkのAX3000で解析された「kworker」プロセスは、このrctlをカスタマイズしたものだ。Linuxカーネルスレッドのkworkerを装いながら、実際にはroot権限で動作するユーザーランドプロセスとして常駐し、正規のkworkerプロセスに紛れて機能を隠す。VulnCheckが確認したZbtlink側の接続先は、47.107.224[.]89やrbdg4nzqadui[.]wikaba[.]comなどで、VulnCheckが検証した全ファームウェアは共通して以下の4つの主要・予備エンドポイントへ発信する。

• zbtctl.epplink[.]net（47.100.190[.]96）
• 47.107.224[.]89
• online-string[.]com（45.32.81[.]152）
• rbdg4nzqadui.wikaba[.]com（43.248.136[.]125）

VulnCheckは、zbtlink.comのダウンロードページに掲載されたすべてのファームウェアがrctlの植え込みを内蔵し、init.dスクリプト「skworker」で起動時に実行されると説明している。影響を受けるモデルとして、以下の20機種以上が挙げられている。

CPE2801、WE1026-5G-WD、WE1326、WE2007、WE2008-DSIM、WE2416、WE3326、WE5927、WE5931、WE5931AC、WE826-T3-DSIM、WG108、WG1602、WG1608-DSIM、WG209、WG2105、WG2107、WG259、WG3526、Z8102AX-2DSIM など

認証なしでrootシェル — 経路ハイジャックの危険

ENDLESSDOORSの通信には、ハンドシェイクや認証、ネゴシエーションが存在しない。植え込みはLAN側のMACアドレスを添えた「hello」メッセージをサーバーへ送り、サーバーから返された内容をそのまま実行する。Baines氏によると、予約文字列「rctlbash」は、植え込みにポート7001への2つ目の接続を開かせ、擬似端末を割り当てて/bin/shを起動し、ブリッジさせる。すなわち、対話的なrootシェルが即時に得られる。

Baines氏は「このプロトコルの語彙は2つだけだ。『これをrootで実行せよ』と『rootシェルをよこせ』だ。ネットワーク経路上の誰もがクライアントとサーバーの通信をハイジャックできる。rbdg4nzqadui.wikaba[.]comの名前解決や、そのアドレスを制御する者は、ENDLESSDOORSの植え込みがphone homeを試みるたびに制御を奪える」と指摘している。

この特性により、攻撃者はrctlの外向き通信をハイジャックして対話的なrootシェルを得て、ルーターがインターネットから直接到達可能でなくても制御を奪える。VulnCheckは、バックドアが少なくとも2年以上にわたるファームウェアに存在していたことから、サプライチェーン全体への影響を指摘している。

Zbtlinkの対応と利用者が確認すべき痕跡

Zbtlinkは、VulnCheckの報告を受け、同社のダウンロードページで「一部のルーターファームウェアにセキュリティの脆弱性が確認されたため、予防措置として影響を受けるファームウェアの公開を一時的に停止した。エンジニアリングチームが修正済みファームウェアの開発と検証を集中的に進めており、検証が完了次第直ちに通知する」と表示している。

同社はThe Hacker Newsの取材に対し、当初「同機能はアフターサービスの保守のみを目的としたもので、サンプル機にのみ残され顧客のソフトウェアデバッグを支援するためだ。当社はOEM/ODMカスタマイズを専門としており、顧客はZBTのデフォルトファームウェアではなく自社開発のソフトウェアを使用している。顧客のセキュリティとプライバシーが最優先であり、報告を非常に深刻に受け止めて解決を急いでいる」と説明した。その後のウェブサイト上の更新声明では、「リモート管理コンポーネントは顧客の明示的な要求と承認があった場合にのみデバイスのトラブルシューティングと設定を支援するために使用され、不正アクセスに使用されたことはない」としつつ、影響モデルの販売を即時停止し、該当ファームウェアの公開を削除して、rctlコンポーネントの問題を完全に解決するための修正を開発中だと述べている。

VulnCheckは、利用者に対して、プロセス一覧の確認や、ファイルシステム上の「/usr/sbin/kworker」「/usr/lib/librctl.so」「/etc/kworker.cfg」「/etc/init.d/skworker」といったファイルの有無の確認、外部への egress（外向き通信）の遮断を推奨している。White-label（OEM）製品として販売されている可能性もあるため、Zbtlinkブランド以外の筐体でも同じファームウェアが使われていないか確認が必要だ。

日本国内でも、安価な5G/セルラールーターやWi-Fiルーターとして流通している可能性がある。組織でZBTlink製やShenzhen Zhibotong Electronics製の機器、あるいはOEM供給を受けた機器を利用している場合は、VulnCheckが示した痕跡の確認と、外部への不要な通信の遮断、メーカーからの修正ファームウェア公開の監視が求められる。

出典:

• https://www.vulncheck.com/blog/zbt-endlessdoors