複数のブランド名の下で販売されている一連のインターネットルーターの中で、最も顕著なセキュリティバックドアが発見されました。このファームウェアのマルウェアは、中国のクラウドサーバーに接続して指示を要求し、リモートで制御される可能性があります。今年初め、アメリカ政府は国家安全保障上のリスクを理由に、すべての新しい中国製ルーターの輸入と販売を禁止しました。この禁止令は、昨年発見された数千台のASUSルーターがボットネット攻撃を受けた結果に基づいており、Cisco、D-Link、Linksysのデバイスも攻撃を受けました。このような埋め込まれたマルウェアの脅威を回避するための大きな課題は、多くの中国製ルーターが異なるブランド名で販売されており、時には表示される原産地も異なることです。
さらに、多くのルーターは再ラベルされ、標準機器としてアメリカのインターネットサービスプロバイダーによって供給されるため、顧客は自分のルーターが誰によって製造されたのか全く知ることができません。
VulnCheckがルーターのセキュリティバックドアを発見
ネットワークセキュリティ会社VulnCheckは、現在、深圳スマート通電子有限公司が製造したルーターに驚くべきかつ故意のバックドアが内蔵されていることを発見しました。これらのルーターはZbtlinkやWiflyerなどの複数のブランドで販売されています。彼らはこれをENDLESSDOORSと名付けました。なぜなら、無限の方法で利用される可能性があるからです。これは、アクティブに接続を試みるトロイの木馬のような埋め込まれたプログラムです。VulnCheckのゼロデイ研究チームはこれをENDLESSDOORSと名付けました。
根本的に言えば、これはrctl（リモートコントロールLinux）と呼ばれるシンプルなツールです。このツールは2015年1月14日にGitHubにアップロードされ、以降は変更されていません。このマイナーなコードベースは、シンプルなコマンドとコントロールのクライアントとサーバーを実現しています。サーバーは7000ポートでクライアントの接続を待ち受け、クライアントに個別のシェルコマンドを送信したり、クライアントに逆向きのbashシェルを起動するよう指示したりできます。
研究者たちは、この脅威のリスクが前例のないほど大きいと述べています。なぜなら、これはアクティブにそのコマンドとコントロールサーバーと接続を確立するからです。デバイスがアクティブに発信するため、ルーターがインターネットにアクセスする必要はありません。見つける必要のあるリスニングポートは存在せず、侵入するためのインバウンドルールも必要ありません。接続はネットワーク内部から発生し、任意の外向きTCPセッションと同様にNATや典型的な出口フィルタを通過します。ホテルのバックエンドの3層ファイアウォールの背後にあるデバイスは、パブリックIPアドレスを持つデバイスと同じように到達可能であり、コマンドサーバーに接続できる限り、全く同じです。
影響を受けるルーターのモデルを確認する必要性
あなたのルーターを確認する方法として、VulnCheckはルーターのブランドに関係なく、以下の影響を受けるモデルを確認することを推奨しています：CPE2801、WE1026-5G-WD、WE1326、WE2007、WE2008-DSIM、WE2416、WE3326、WE5927、WE5931、WE5931AC、WE826-T3-DSIM、WG108、WG1602、WG1608-DSIM、WG209、WG2105、WG2107、WG259、WG3526、Z8102AX-2DSIM。
もしあなたのルーターがこれらのモデルに該当する場合は、直ちに接続を切断し、交換するべきです。