Zwei Backdoors stecken ab Werk in der Firmware von Routern des chinesischen OEM-Herstellers ZBT — und die landen über Umwege auch bei deutschen Käufern. IT-Sicherheitsforscher von VulnCheck haben die Implantate in einem für 88 Dollar auf Amazon gekauften Router entdeckt und unter den Namen „Darklantern" und „Speakingstone" dokumentiert.

Darklantern lauscht ohne jede Authentifizierung auf UDP-Port 9992 und gibt jedem, der ein simples 19-Byte-Paket schickt, eine root-Shell. Die Router-Firewall erlaubt den Zugriff von außen explizit. Speakingstone arbeitet umgekehrt: Das Implantat verbindet sich aktiv zur ZBT-Cloud und nimmt Befehle entgegen — darunter DNS-Hijacking und das Abgreifen von PPPoE-Zugangsdaten eures Providers. Beide Schwachstellen (CVE-2026-74232 und CVE-2026-74233) bewerten die Forscher mit CVSS-Scores von 9,3 bis 9,8.

Wer ist betroffen?

ZBT (Shenzhen Zhibotong Electronics) baut LTE- und 5G-Router, die weltweit unter fremden Markennamen verkauft werden. In Deutschland hat VulnCheck die Marken Digineo und Allnet als OEM-Abnehmer identifiziert. Die betroffene Firmware stammt aus 2019, die Backdoors fanden sich aber in 16 verschiedenen Modellen. Ein Internet-Scan ergab 203 direkt erreichbare Geräte in 22 Ländern — die tatsächliche Basis dürfte deutlich größer sein.

Besonders brisant: VulnCheck registrierte eine vergessene Backup-C2-Domain aus der Firmware und erhielt sofort Beacons von 392 Routern, 390 davon aus China. ZBT selbst spricht von einem „technischen Support-Tool". Dass dieses Tool DNS manipulieren und ISP-Passwörter stehlen kann, passt ehrlich gesagt schlecht zu einem Service-Werkzeug. ZBTlink hat inzwischen angekündigt, den Verkauf betroffener Modelle auszusetzen. Das Thema erinnert an die jüngsten TeamViewer-Sicherheitslücken — unsichere Fernwartung bleibt ein Dauerproblem.

Falls ihr einen günstigen LTE-Router aus China betreibt: Prüft den Hersteller über die MAC-Adresse (die Blöcke 78:A3:51 und F8:5E:3C gehören zu ZBT). Im Zweifelsfall lieber Stecker ziehen, bis ein sauberes Firmware-Update kommt. Ich bin gespannt, ob die betroffenen OEM-Marken sich hier zu Wort melden — die Käufer hätten es verdient.