8月28日、Tom's Hardwareが「Security researchers find surveillance implants in Chinese-made routers sold worldwide」と題した記事を公開した。中国・深圳のZBT（Shenzhen Zhibotong Electronics）製ルーターのファームウェアに、工場出荷時から仕込まれた3種類の監視用インプラントが発見されたという内容だ。
ZBTは製品をOEM/ODMで多数ブランドに供給しており、箱に「ZBT」と書かれていなくても実態はZBT製というケースが世界中に存在する。問題の端緒となったルーターはAmazonのUS販売者から88ドルで購入できたものであり、このリスクが決して遠い話ではないことを示している。近年は米議会でTP-Linkルーターの安全保障上のリスクが審議されるなど、中国製ネットワーク機器をめぐるサプライチェーンリスクへの関心が高まっている。今回の発見はその懸念を裏付ける、具体的かつ実証済みの事例となった。
「バグ」ではなく「意図的な仕掛け」
セキュリティ企業VulnCheckが発見したのは、うっかりバッファチェックを忘れたような通常の脆弱性ではない。ルーターのファームウェアに最初から組み込まれた、リモートアクセスを可能にするソフトウェア群だ。発見されたインプラントは3種類あり、それぞれ動作原理・影響範囲が異なる。
3つのインプラントの中身
ENDLESSDOORS（CVSSスコア 9.3）
VulnCheckのENDLESSEDOORSレポートによると、Zbtlink AX3000を起点に、20のZBTモデルのファームウェアに埋め込まれていることが確認された。
動作の特徴は以下のとおりだ：
- 起動時に自動実行され、Linuxカーネルの正規プロセス
kworkerを偽装する - ハードコードされたC2（コマンド＆コントロール）サーバーに定期的に接続し、自身の存在を通知する
- 認証も暗号化も実質的にない
- 受信したコマンドはそのままrootシェルに渡される
- 対話型のrootシェルも確立可能
VulnCheckは自社のテストルーターでC2サーバーになりすまし、実際にルーターを乗っ取ることに成功している。理論上の話ではなく、実証済みの攻撃ベクタだ。ZBT側はENDLESSEDOORSについて「アフターサポート用のメカニズム」と説明しているが、VulnCheckは「認証が機能していない以上、誰でも同じ権限を行使できる」と反論している。
DARKLANTERN
VulnCheckのDARKLANTERNレポートによると、AmazonのUS販売者から購入したDeep Orange 4G/LTEルーター（実態はZBT-WE826-T2のホワイトラベル品）に含まれていた。infosrvdサービスとして動作し、WANのUDPポート9992でリッスンする。
- 認証なしでインターネットから直接コマンドを受け付ける
- 固定19バイトのプローブを送るだけで、モデル名・ファームウェアバージョン・MACアドレス・稼働時間を漏洩させられる
- コマンドペイロードのチェックサムは静的なハードコードソルト（
mqonu.com）に依存 - MACアドレスフィルタは全ゼロを送るだけで回避可能
VulnCheckがインターネットをスキャンしたところ、22カ国で203件の露出インスタンスが確認された。
SPEAKINGSTONE（最も深刻）
VulnCheckのSPEAKINGSTONEレポートによると、同じくDeep Orangeルーターに含まれていたyunmgrdサービスだ。DARKLANTERNと異なり、外部から接続を待つのではなく、ルーター側からC2サーバーへ定期的にビーコンを送信する。UDPポート10000を使い、独自プロトコル「zbtProtocol」でデバイスのフィンガープリントを送り続ける。
NATやファイアウォール内に置かれていても機能するため、封じ込めが難しい。コマンドプロトコルでできることは単なるシェル実行にとどまらない：
- 任意コマンド実行
- WAN PPPoE認証情報の窃取
- DNSハイジャックリストの書き換え
- リバースSSHトンネルの確立
VulnCheckはSPEAKINGSTONEのC2ドメインの一つが未登録であることに気づき、自ら登録。シンクホールサーバーを立ち上げると、8月21日までに392台のユニークなデバイスが接続してきた。そのうち390台は中国国内、大半がChina Mobileのネットワークを経由していた。VulnCheckはこの展開を「国内向け中国監視技術がグローバル市場に流出している可能性」と指摘している。
影響範囲と対策
ZBTのOEMビジネスにより、同じハードウェアが世界中で異なるブランド名で販売されている。VulnCheckが確認しただけでも、Lippert Components、Wave WiFi、MoFi Network（カナダ）、Digineo（ドイツ）、OneX（オーストラリア）などが含まれる。WiFlyer、Deep Orange、Cioswi、CroSkylink、KuWFiといったブランド名でも流通している。
VulnCheckは「ファームウェアを調査した中にはインプラントを含まないものもあった」と明言しているが、問題は箱のブランドを見ても判断できない点だ。影響を受けるモデルの一覧は上記各VulnCheckレポートで確認できる。
対策として取れる選択肢は事実上一つだ。該当デバイスを交換する。インプラントはファクトリーインストールされているため、ファームウェアを更新しても信頼を回復できない。格安のセルラールーター、トラベルルーター、RV用ルーターを使用している場合は、ブランド名の背後にどの企業がファームウェアを書いたかを意識する必要がある。企業の調達担当者にとっては、ネットワーク機器のサプライチェーン審査においてOEM元メーカーの確認を標準プロセスに組み込む契機となりうる事案だ。
詳細はSecurity researchers find surveillance implants in Chinese-made routers sold worldwideを参照していただきたい。
