複数のブランド名の下で販売されている一連のインターネットルーターに、最も顕著なセキュリティバックドアが発見されました。このファームウェアのマルウェアは、中国のクラウドサーバーに接続して指示を要求し、遠隔操作される可能性があります。今年初め、アメリカ政府は国家安全保障のリスクを理由に、すべての新しい中国製ルーターの輸入と販売を禁止しました。この禁止措置は、昨年発見された数千台のASUSルーターがボットネット攻撃を受けた結果に基づいており、Cisco、D-Link、Linksysのデバイスも攻撃を受けました。このような埋め込まれたマルウェアの脅威を回避する大きな課題は、多くの中国製ルーターが異なるブランド名で販売されており、時には原産地の表示も異なることです。
さらに、多くのルーターは再ラベルされ、標準的な機器としてアメリカのインターネットサービスプロバイダーから供給されているため、顧客は自分のルーターが誰によって製造されたのか全く知ることができません。
VulnCheckがルーターのセキュリティバックドアを発見
サイバーセキュリティ会社VulnCheckは、深圳智能通電子有限公司が製造したルーターに驚くべき意図的なバックドアが組み込まれていることを発見しました。これらのルーターはZbtlinkやWiflyerなどの複数のブランド名で販売されています。彼らはこれをENDLESSDOORSと名付けました。なぜなら、無限の方法で利用される可能性があるからです。これは、アクティブに接続を試みるトロイの木馬のような埋め込まれたプログラムです。VulnCheckのゼロデイ研究チームはこれをENDLESSDOORSと名付けました。
基本的に、これはrctl（リモートコントロールLinux）と呼ばれるシンプルなツールです。このツールは2015年1月14日にGitHubにアップロードされ、その後変更はされていません。このマイナーなコードベースは、シンプルなコマンドとコントロールのクライアントとサーバーを実現しています。サーバーは7000ポートでクライアントの接続を待機し、クライアントに個別のシェルコマンドを送信したり、クライアントに逆向きのbashシェルを起動するよう指示したりできます。
研究者たちは、この脅威のリスクが前例のないほど大きいと述べています。なぜなら、これは自ら命令とコントロールサーバーと接続を確立するからです。デバイスが自ら発信するため、ルーターがインターネットにアクセスできる必要はありません。見つける必要のあるリスニングポートは存在せず、侵入するためのインバウンドルールも必要ありません。接続はネットワーク内部から発生し、任意の外向きTCPセッションのようにNATや典型的な出口フィルタを通過します。ホテルのバックエンドの3層ファイアウォールの後ろにあるデバイスは、公共IPアドレスを持つデバイスと同じようにアクセス可能であり、命令サーバーに接続できる限り同じです。
影響を受けるルーターのモデルを確認する必要性
自分のルーターを確認する方法について、VulnCheckはルーターのブランドに関係なく、以下の影響を受けるモデルを確認することを推奨しています：CPE2801、WE1026-5G-WD、WE1326、WE2007、WE2008-DSIM、WE2416、WE3326、WE5927、WE5931、WE5931AC、WE826-T3-DSIM、WG108、WG1602、WG1608-DSIM、WG209、WG2105、WG2107、WG259、WG3526、Z8102AX-2DSIM。
もしあなたのルーターがこれらのモデルに該当する場合は、直ちに接続を切断し、交換するべきです。