中国製ZBTルーターに工場出荷時から2つのインプラント — VulnCheckが「SPEAKINGSTONE」「DARKLANTERN」を発見、 sinkholeに392台がビーコン

VulnCheckの研究者Jacob Baines氏は2026年8月27日、中国Shenzhen Zhibotong Electronics（ZBT）製ルーターのファームウェアに、工場出荷時から組み込まれた2つのインプラントが存在することを報告した。ブログ「Chinese Implants in the Supply Chain」で公開したもので、VulnCheckが米Amazonで小規模事業者から購入したDeep Orangeブランドの3G/4G/LTEルーター（実体はZBT-WE826-T2、白ラベル品）のファームウェア解析から判明した。同デバイスのファームウェアは2019年ビルドで、VulnCheckが以前報告した「ENDLESSDOORS」より前の世代だったが、代わりに2つの未知のインプラントが含まれていた。

VulnCheckは2つのインプラントを「SPEAKINGSTONE」と「DARKLANTERN」と命名した。両者はNim言語で記述され、同じ接続監視バイナリ「inetdetect」から起動する。VulnCheckはこの発見を「CVE-2026-74232」および「CVE-2026-74233」（いずれも認証なしでのroot権限奪取を可能にする問題）としてアドバイザリでも公開している。

2つのインプラントは何か

DARKLANTERNは「待ち受ける」バックドアだ。 サービス名「infosrvd」として動作し、UDPポート9992で待ち受ける。ルーターのデフォルトのファイアウォールは同ポートへの外部からのUDP通信を明示的に許可しており、VulnCheckによれば設計上インターネットから到達できる。

VulnCheckが解析したプロトコル（バイナリ内部では「revProto」と呼ばれる）は単純で、認証も暗号化もない。2種類のパケットがある。

• 情報プローブ（19バイト）: 0c 16 1f 00 00 ... 01 の19バイトをUDP/9992へ送ると、デバイスはUDP/8897へ機種名・ファームウェアバージョン・MACアドレス・稼働時間・SSID・公開IPなどを含む応答を平文で返す。VulnCheckは実際にウクライナ所在のデバイスから得た応答例として、WE826-T2;19.0617;78a35165f294;...;45.156.37.159;... のような文字列を示した。認証やチャレンジは存在しない。
• コマンドパケット（type 0x17）: ペイロードに含めたシェル文字列をデバイスが system("/etc/exec/cmd " + payload) で実行する。ペイロード中のセミコロン（;）で固定プレフィックスを抜け出せるため、文字数制限やフィルタリングはなく、1パケットでrootシェルが成立する。

コマンドパケットは本来2つの検証を通過する必要があるが、いずれも迂回できる。1つはペイロードに対する4バイトのチェックサムで、md5("mqonu.com" + payload) の末尾4桁というハードコードされた計算だ。キー文字列「mqonu.com」はMoreQuick社（同ファームウェアを開発した中国OEM）を指すとみられ、VulnCheckは静的なソルトであり変更不能だと指摘する。誰でも同じ計算で正当なチェックサムを作成できる。もう1つはパケット内の6バイトのMACアドレス照合だが、デバイスのMAC（/tmp/mac.txt）と一致しなければ破棄する仕組みにもかかわらず、MACフィールドをすべてゼロ（00:00:00:00:00:00）にすると検証を通過するハードコードされたバイパスが存在する。VulnCheckは「DARKLANTERNへのコマンド実行を妨げるものは何もない」と評価している。

SPEAKINGSTONEは「電話をかける」インプラントだ。 サービス名「yunmgrd」として動作し、外向きにUDPでコマンド＆コントロール（C2）サーバへビーコンを送り、指示を待つ。DARKLANTERNのようなリスナー型はNATやファイアウォールの背後では到達できないが、フォーンホーム型は外向き通信として成立するため、どのようなネットワーク環境からでも機能する。

VulnCheckの検証機（ZBT-WE826-T2）では、設定されたC2は ac-link[.]com（Alibaba Cloudの深圳所在IP 47.107.224[.]89）で、VulnCheckが以前のENDLESSDOORS調査でも確認したZBTのクラウドインフラと同一だ。プロトコル（バイナリ内部では「zbtProtocol」）はUDPポート10000を使用し、ビーコンには/tmp/info.txt由来の機種・ファームウェア・MAC・SSID・LAN IP・稼働時間・GPS座標などが含まれる。WE826-T2では外向きメッセージが1バイト（0x1f）でXOR難読化されるが、他機種では平文の場合もあり、VulnCheckは難読化がオプションか後付けの可能性を指摘する。内向きのコマンドは常に平文で、暗号化も認証もなく、経路上の誰でも乗っ取れる。

VulnCheckが示したSPEAKINGSTONEのメッセージタイプは以下の通りだ。

msgType	名称	動作
0x1001	reg	デバイス指紋ビーコン
0x2507	cmdRun	任意コマンド実行
0x2502	pppoe	WAN側PPPoEのユーザー名・パスワード窃取
0x230b	dnsSet	DNSハイジャックリストの書き込みと /usr/sbin/dns.sh での有効化
0x2306	dnsGet	現在のDNSハイジャックリストの取得
0x2405	onoff	リバースSSHトンネルの開閉
0x2406	sshport	現在のリバースSSHポートの取得
0x2602	setBackup	バックアップC2アドレスの更新

VulnCheckは「SPEAKINGSTONEはDARKLANTERNやENDLESSDOORSより多機能で、クラウド管理ツールではなくISP認証情報の窃取やDNSハイジャックを行う監視インプラントだ」と評価している。

インターネットでどれだけ見つかったか

VulnCheckは自社のインターネットスキャナ「Target Intelligence」でDARKLANTERNの情報プローブを送信し、2026年8月18日から21日の間に203台のインターネット公開DARKLANTERNインスタンスを22カ国で確認したと報告した。応答したデバイスは16の異なるモデルを自己申告しており、単一機種の問題ではなく、ファームウェアレベルで複数製品に組み込まれたバックドアであることを示す。これらは2019年ビルド相当の旧モデルが中心で、VulnCheckは「観測できたのは展開の末期であり、導入ベースは過去にはさらに大きかった可能性が高い」としている。

SPEAKINGSTONEについては、別の観測手法で規模を把握した。同インプラントにはハードコードされたバックアップC2ドメイン www.findmyipaddr[.]com があり、プライマリC2が未設定のデバイスだけがこのドメインへビーコンする。このドメインはVulnCheckの解析時点で未登録だったため、同社はドメインを取得してsinkhole（研究者が放棄されたC2ドメインを取得し、自身のサーバでビーコンを受け取る手法）を構築した。結果、2026年8月21日時点で392台のユニークなデバイスがビーコンし、うち390台が中国に所在していた。83%はChina Mobileのネットワークに属し、304台が同社のコンシューマーブランド「CMCC」で始まるSSIDを発報していた。363台は単一モデル「L3_V2_8」（ファームウェア 3.0.0.4.528）で、VulnCheckは「店頭で購入するルーターではなく、China Mobile網内で展開されたキャリアCPEとみられる」「中国国内で大規模に展開された国内向け監視技術だ」と分析している。なお、プライマリC2である ac-link[.]com は現在も稼働しており、バックアップドメインに到達したのは全体の一部に過ぎないため、SPEAKINGSTONE搭載デバイスの総数は不明で「はるかに大きい」可能性がある。

サプライチェーンはどこまで広がっているか

VulnCheckは「1台の88ドルのルーターから見つかったものが、どこまで広がっているかを追跡した」とし、FCC提出文書・特許記録・アーカイブされたウェブページからZBTハードウェアの供給網を追跡した。

購入したDeep Orangeデバイスの底面ラベルは「WE826-T」で、ZBTのFCC提出文書にあるWE826と一致し、MACアドレスの上位3バイトもZBTに割り当てられた 78:A3:51 だった。ZBTは消費者ブランドとしては無名だが、他社ブランドへハードウェアをOEM供給している。

VulnCheckが挙げた例は以下の通りだ。

• 米国: Lippert Componentsの「WiFi On-The-Go」、Wave WiFiのMBR 500/550シリーズ
• 豪州: OneXの「RV WIFI Route」
• カナダ: MOFI Networkの「MOFI4500-4GXeLTE」（FCC文書の回路図に「ZBT-WE826」と記載、MACもZBTブロック）
• ドイツ: Digineoの「AC1200 Pro」（ZBT WG3526ベース）、ALLNETの「ALL-WR1200AC-WRT」（OpenWrtがZBT WG2626のOEMと識別）

さらにZBT自身に近いブランドとして、USPTO（米国特許商標庁）でZBTが商標を保有する「WiFlyer」（Amazon/Neweggで販売）、同じくZBTが登録した「WORDFI」（フィリピンのShopeeで流通）や「HomeMyfi」、アーカイブされたサポートページで [email protected] への誘導が残る「Cioswi」（AliExpressで英語・キリル文字併記）、外観がZbtlink Z8102AX-Tと同一の「CroSkylink」や、ZBT WG3526と同一プラットフォームの「KuWFi WG3526」などを挙げた。VulnCheckは「MOFIのように独自ファームウェアを開発しインプラントを含まない例もあるが、ZBT名を知らなくてもZBTハードウェアに触れている可能性は十分ある」と注意を促している。

ZBT側の説明とVulnCheckの評価、検知の手がかり

ZBTはVulnCheckの前回報告（ENDLESSDOORS）に対し、「顧客の明示的な要求と承認があった場合に限り、デバイスのトラブルシューティングと設定を支援するためのものだ」と説明していた。VulnCheckは今回、「顧客が明示的に要求・承認する仕組みは見つかっておらず、ENDLESSDOORSの一部亜種はマルウェアでよく使われるダイナミックDNSプロバイダをC2に利用していた」とし、「1つのインプラントでも説明は困難だったが、今回で3つになった」と評価した。さらに「不正アクセスに使われたことはない」とのZBT側の主張についても、「いずれのインプラントも安全な通信をサポートしておらず、経路上の誰でもハイジャックできる。VulnCheckはバックアップドメインを登録するだけで数百台をsinkholeできたし、DARKLANTERNは静的キーさえ分かれば誰でもコマンドを実行できる」と指摘している。

VulnCheckは検知のためにSuricataルールを公開した。例えばDARKLANTERNのワイルドカードMACによるroot実行、19バイトの情報プローブ、コマンド出力の外部送信、SPEAKINGSTONEのC2ドメイン www.ac-link.com / www.findmyipaddr.com へのDNS問い合わせやUDP 10000上のzbtProtocolビーコン・コマンド注入などを検知するシグネチャだ。VulnCheckはブログ末尾でこれらのルールを全文掲載しており、ネットワーク監視での活用を呼びかけている。

日本国内でZBT名義のルーターを直接利用するケースは限られるとみられるが、OEM供給の特性上、別ブランドとして流通した機器に同じファームウェアが含まれている可能性は否定できない。VulnCheckが示したように、FCC IDやMACアドレスのベンダー識別子（78:A3:51 など）、UDP 9992/10000の待ち受けや外向き通信の有無、公開されたSuricataルールでの検知など、調達機器の棚卸しとネットワーク観測が手がかりになる。

出典

• VulnCheck Blog: Chinese Implants in the Supply Chain (2026年8月27日) — Jacob Baines氏
• VulnCheck Advisory: Zbtlink MQWrt infosrvd Command Injection (CVE-2026-74232関連)
• VulnCheck Advisory: Zbtlink MQWrt yunmgrd Cloud C2 Implant (CVE-2026-74233関連)