Fabricante chinês de routers nega backdoor mas retira firmware do site

Um fabricante chinês pouco conhecido por cá, a Zbtlink, acaba de entrar para a lista de marcas de rede em que convém pensar duas vezes antes de clicar em “download de firmware”. A empresa está a negar que os seus routers tragam um backdoor, mas em paralelo suspendeu o acesso ao firmware de mais de 20 modelos para corrigir “vulnerabilidades de segurança” não especificadas.

O caso rebentou quando Jacob Baines, CTO da empresa de threat intelligence VulnCheck, analisou um router Zbtlink que tinha em cima da secretária. Segundo o próprio, o equipamento tentava continuamente ligar-se a um servidor de comando e controlo na internet. Não porque tivesse sido comprometido, mas porque o firmware vinha assim de fábrica. Baines baptizou o suposto backdoor de ENDLESSDOORS e apontou o culpado: um pequeno programa chamado rctl (remote control linux), publicado no GitHub em 2015 e praticamente abandonado desde então.

O rctl, descreve Baines, age como um cliente de comando e controlo sobre a porta 7000, capaz de executar comandos de shell ou abrir uma shell reversa no router. Pior, o código não está escondido em truques obscuros de kernel. Corre como processos normais em espaço de utilizador, com privilégios de root e nomes escolhidos para se misturarem com processos legítimos. Ou seja, parece tudo menos uma ferramenta de debug deixada por engano. É um implante persistente, um cavalo de Troia que “telefonar para casa” à espera de ordens.

Do ponto de vista técnico, o protocolo é quase uma caricatura de má prática: não há handshake, não há troca de chaves, não há qualquer verificação entre cliente e servidor. O router envia sempre o mesmo “olá” de 39 bytes, com uma etiqueta de classe e o endereço MAC da LAN. Quem conseguir meter-se no caminho do tráfego, ou controlar o domínio de destino apontado por Baines, rbdg4nzqadui[.]wikaba[.]com, pode potencialmente assumir o controlo de qualquer instalação de ENDLESSDOORS. Para um equipamento que costuma ficar a fazer de porteiro de toda a rede, isto é pedir problemas.

Confrontada pelo The Register, a Zbtlink rejeitou a acusação de backdoor e afirmou que o código em causa é “apenas uma função de manutenção pós‑venda”. Segundo a empresa, esta funcionalidade serve para assistência remota em unidades de amostra, não é suposto chegar a produto final em massa. O problema é que, pouco depois, a própria Zbtlink publicou na sua página de downloads um aviso de “remediação de segurança” do firmware, removeu versões afetadas e disse estar a trabalhar em correções. É o tipo de coreografia de crise que já vimos em discussões sobre backdoors em serviços na nuvem, como no caso da tentativa de acesso ao iCloud pelas autoridades britânicas, e raramente inspira confiança.

Para quem gere redes em Portugal, isto reforça uma lição antiga: routers e pontos de acesso baratos, sem marca forte na Europa, podem sair caros em risco. Ferramentas de acesso remoto embutidas, sem autenticação decente e escondidas do utilizador, são um convite a abusos sejam ou não colocadas ali com segunda intenção. Se compras equipamento fora do circuito habitual da Worten, FNAC ou operadores, convém olhar para o firmware com o mesmo cepticismo com que olhas para anexos suspeitos no email. E se um fabricante precisa de uma polémica pública para descobrir que o seu próprio código é um problema, talvez não deva estar a gerir o tráfego de metade da tua casa.

Fonte: The Register