"ENDLESSDOORS, en su núcleo, es una pequeña herramienta llamada rctl (remote control linux)", afirmó Jacob Baines, Director de Tecnología de VulnCheck. "Subido a GitHub el 14 de enero de 2015 y nunca más tocado, este repositorio oscuro implementa un cliente y servidor de comando y control simple".

"El servidor escucha en el puerto 7000 para que los clientes se conecten. Puede enviar al cliente comandos de shell individuales o decirle al cliente que genere un shell bash inverso".

El proceso trabajador "kworker" que se ejecuta en el Zbtlink AX3000, analizado por VulnCheck, es una versión personalizada de rctl configurada para contactar con lo siguiente:

* 47.107.224[.]89
* rbdg4nzqadui[.]wikaba[.]com

Además, no hay saludo, negociación ni autenticación involucrada. Una vez que el implante envía un mensaje de "hola" al servidor junto con la dirección MAC de la LAN, está diseñado para ejecutar cualquier cosa que el servidor envíe de vuelta como respuesta.

"Una cadena reservada, rctlbash, le indica al implante que abra una segunda conexión al puerto 7001, asigne un pseudo-terminal, ejecute /bin/sh y lo puenteé", explicó Baines. "Eso es un shell de root interactivo en vivo".

"El vocabulario de este protocolo son dos frases: ejecuta esto como root, y dame un shell de root. Cualquiera a lo largo de la ruta de la red puede secuestrar la comunicación cliente/servidor. Cualquiera que controle la resolución de rbdg4nzqadui.wikaba[.]com, o la dirección a la que se resuelve, puede controlar cualquier implante ENDLESSDOORS que intente llamar a casa".

Un atacante puede aprovechar este vacío legal para secuestrar las comunicaciones salientes de rctl y obtener un shell de root en vivo, tomando el control del router sin tener que ser accesible desde internet.

VulnCheck señaló que cada firmware enumerado en la página de descargas de zbtlink.com incluye el implante rctl y lo inicia al arrancar con un script init.d llamado "skworker". La lista de modelos afectados está a continuación:

• * CPE2801
• * WE1026-5G-WD
• * WE1326
• * WE2007
• * WE2008-DSIM
• * WE2416
• * WE3326
• * WE5927
• * WE5931
• * WE5931AC
• * WE826-T3-DSIM
• * WG108
• * WG1602
• * WG1608-DSIM
• * WG209
• * WG2105
• * WG2107
• * WG259
• * WG3526
• * Z8102AX-2DSIM

Se ha descubierto que cada uno de estos modelos marca el mismo conjunto de cuatro puntos finales primarios y secundarios:

* zbtctl.epplink[.]net (47.100.190[.]96)
* 47.107.224[.]89
* online-string[.]com (45.32.81[.]152)
* rbdg4nzqadui.wikaba[.]com (43.248.136[.]125)

Al momento de escribir esto, a los usuarios que visitan la página de descargas de firmware en el sitio web de Zbtlink se les muestra el siguiente mensaje:

Hemos detectado vulnerabilidades de seguridad de firmware que afectan a algunas versiones de firmware de routers seleccionados.

Como medida precautoria, las versiones de firmware afectadas han sido retiradas temporalmente de los canales de descarga. Nuestro equipo de ingeniería está trabajando intensamente para desarrollar y validar un firmware parcheado y seguro.

Te notificaremos inmediatamente una vez que el firmware corregido y validado en seguridad esté disponible para su lanzamiento.

Pedimos disculpas por las molestias causadas. Gracias por tu comprensión.

Mientras tanto, se te aconseja que revises la lista de procesos, escanees el sistema de archivos en busca de archivos como /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg y /etc/init.d/skworker, y bloquees los puntos de salida.

Fuente:
THN