Chińskie routery, sprzedawane jak świat długi i szeroki, mają cechę, o której ich producent nie wspomina w materiałach marketingowych. Są mianowicie rutynowo zaopatrywane w preinstalowane backdoory, umożliwiające Chinom masową, powszechną inwigilację, szpiegostwo oraz kradzież danych każdego, kto kupił taki router lub go używa. Do takich wniosków doszli badacze z firmy VulnCheck, którzy przebadali ponad 20 modeli popularnej chińskiej firmy Shenzhen Zhibotong Electronics Co., sprzedawanych na świecie pod markami Zbtlink oraz Wiflyer
Złośliwe oprogramowanie, nazwane przez badaczy „Endlessdoors”, zaszyto w firmware routerów na etapie produkcji (maskując je jako „proces systemowy” kworker), co czyniłoby je niewykrywalnym przez standardowe skanowanie antywirusowe. Mechanizm działania jest pod względem technicznym w istocie banalny, co nie znaczy, że nieskuteczny. Backdoor domyślnie, co każde 35 sekund, nawiązuje niezabezpieczone połączenie TCP na port 7000 z serwerami C2 (command-and-control), zlokalizowanymi w domenach zbtctl.epplink.net, online-string.com oraz rbdg4nzqadui.wikaba.com, a także pod adresami IP z puli chińskich dostawców chmurowych (47.100.190.96, 47.107.224.89, 45.32.81.152, 43.248.136.125)
Dostęp do docelowej domeny, do której odwołuje się backdoor, lub też kontrola nad nawiązywanym przez niego połączeniem w praktyce wystarcza, aby uzyskać nieautoryzowaną, niczym niezabezpieczoną, zdalną kontrolę w czasie rzeczywistym z uprawnieniami root nad routerem – i per extensum także podłączonymi do niego urządzeniami, jak wszelkiego rodzaju komputery, serwery, urządzenia IoT oraz systemy elektroniki domowej, które miałyby pecha działać w sieci lokalnej, w której znajdzie się taki router. Dotknięte modele to m.in. CPE2801, WE1326, WG3526, Z8102AX-2DSIM, jakkolwiek ich obecnie znana, pełna lista może być szersza ze względu na praktykę wykorzystywania części OEM/ODM w ramach urządzeń różnych producentów.
Może i był backdoor, ale nie szpiegowaliśmy, no słowo…
Nie ma na to oczywiście remedium w postaci patcha od producenta – jedynym rozwiązaniem jest fizyczne wymienienie urządzeń lub ich izolacja. Względnie napisanie od podstaw open-source’owego oprogramowania oraz jego „nieautoryzowana” (a w każdym razie z pewnością łamiąca zasady firmowej gwarancji) instalacja w miejsce firmware’u. Szacunki wskazują, że globalna baza zainstalowanych egzemplarzy przekracza 100 tysięcy sztuk, rozproszonych po prywatnych domach i małych przedsiębiorstwach na całym świecie. Użytkownicy, kupując tani router o „dobrym stosunku jakości do ceny”, de facto instalowali zatem w swoich gabinetach i biurach urządzenia inwigilacyjne.
Gotowe nie tylko do kradzieży ich danych na każde żądanie komunistycznych władz Chin, ale wręcz dokonujące tej kradzieży „prewencyjnie”. Shenzhen Zhibotong Electronics ze swej strony oczywiście zaprzeczyła, by jakaś inwigilacja miała miejsce. Firma twierdzi, że backdoory służyły wyłącznie do „obsługi posprzedażowej”, i do żadnych innych celów, poważnie… Pomijając jednak strategię marketingową, którą sparafrazować można jako „Trust me bro”, takie zapewnienia miałyby może jakąś wiarygodność (nie żeby dużą, ale w ogóle jakąkolwiek), gdyby firma chociaż poinformowała klientów o zasadach „obsługi posprzedażowej” i roli, jaką pełnią w niej owe backdoory. A tak to…
Zresztą realia, w których funkcjonuje tak SZE, jak i inne chińskie firmy, rozwiewają jakiekolwiek złudzenia dot. tego, czy miało to miejsce przypadkowo. Bo nie miało. Artykuł 7 chińskiej ustawy o wywiadzie (National Intelligence Law) z 27 czerwca 2017 roku nakłada na wszystkie organizacje oraz obywateli ChRL obowiązek „wspierania, pomagania i współpracowania” z państwowymi służbami wywiadowczymi, przy jednoczesnym zachowaniu takiej działalności w tajemnicy. Oznacza to, że każda chińska firma technologiczna – od fabryki, która wyprodukowała czyiś router, po dostawcę chmury obliczeniowej – działa jako konfident oraz przedłużenie aparatu bezpieczeństwa Królestwa Środka, niezależnie od deklaracji marketingowych o neutralności politycznej.
Router a sprawa chińska. I amerykańska. I…
W tym kontekście wykorzystywanie jakichkolwiek chińskich urządzeń elektronicznych do zastosowań wrażliwych, czy używanie chińskiego oprogramowania (zwłaszcza narzędzi systemowych czy antywirusowych) ociera się o figuratywne samobójstwo w sferze bezpieczeństwa informacyjnego. Dokładnie to zresztą zauważają (jakże poniewczasie…) organy regulacyjne w krajach Zachodu – jak np. amerykańska FCC, która dąży do zakazu importu chińskich routerów. Żeby jednak nie wieszać tutaj psów tylko na Chinach, także praktyki krajów demokratycznych i wolnościowych niewiele się tutaj różnią – by przypomnieć tutaj choćby prowadzony przez same USA program PRISM, o którym świat dowiedział się dzięki Edwardowi Snowdenowi.
Masowa inwigilacja komunikacji, bezpośrednie zasysanie danych ze światłowodów (upstream collection), jak i zmuszanie dostawców Internetu do przekazywania danych bez wymaganych konstytucją nakazów sądowych – to wszystko sprawia, że ojcowie-założyciele Stanów Zjednoczonych najpewniej nie mieliby wiele lepszej opinii o amerykańskich organach federalnych niż o służbach chińskich (jak również rosyjskich, izraelskich etc.). Wszystkie je usiłuje dziarsko naśladować Unia Europejska. Ta nie ma co prawda (ku swej głębokiej frustracji) własnego wywiadu i nie jest w stanie szpiegować innych krajów. Usiłuje to jednak nadrobić na polu inwigilacji swych mieszkańców, np. forsując orwellowski z ducha „Chat Control” oraz inne podobne inicjatywy.
Mimo wszystko, i mając powyższe w pamięci, miło by było, gdyby router stojący w pokoju losowego internauty co do zasady nie był narzędziem szpiegowskim chińskiego reżimu.