ある中国メーカーが、世界各地で大量に販売されているホワイトラベルルーターにバックドアを仕込んでいたことが明らかになりました。
公開されている情報を信じるならば、Shenzhen Zhibotong Electronics Co. Ltd.(ZBT)は毎年膨大な数のルーターを販売しています。深セン拠点で創業15年のこの企業は、中国のeコマース大手Alibaba.comにおいて最も売れているルーターメーカーであり、同サイトでは年間総生産量を360万台と公表しています。通常、これらの製品はZBT以外の企業を通じて、フィリピン、インド、カナダ、オーストラリア、ドイツ、ブルガリア、オーストリア、ロシア、米国といった国々の顧客に販売されています。同社のマーケティング資料によれば、ZBTは50以上の国と地域に製品を輸出しているとのことです。
8月6日、VulnCheckの最高技術責任者(CTO)であるJacob Baines氏は、ZBTの最新ルーターファームウェアにルート権限のバックドアが含まれていることを明らかにしました。さらに数週間の調査を重ねた結果、実際にはZBT製ルーターには数年前から複数種類のバックドアが存在していたことを突き止めました。
中国製技術に潜むバックドア
中国のネットワーク技術にバックドアが仕込まれているという話は、これまでもある種のステレオタイプとして語られてきましたが、これほど露骨な事例はかつてなかったかもしれません。
今年の初夏、Baines氏は自宅のオフィスで使っていたルーターに、10年前から存在するオープンソースのLinuxリモート制御ツールが組み込まれていることを発見しました。「EndlessDoors」と名付けられたこのツールは、通常のシステム処理を行うカーネルスレッドを装って隠されていました。
同氏のルーターのような機器の電源を入れると、見知らぬドメインへビーコン通信を発信します。この通信は外部からではなく内部からインターネットへ向けて開始されるため、あらゆるファイアウォールを難なく通過し、コマンド&コントロール(C2)通信を確立してしまいます。このドメインを支配する者は誰であれ、ルート権限でルーターを操ることが可能でした。Baines氏のインターネット活動を盗み見たり、認証情報を盗んだり、ネットワークの他の部分への侵入口として悪用したりすることもできたはずです。EndlessDoorsは数十種類のルーターモデルに影響を及ぼしていました。
Baines氏が個人で使っていたルーターは、ZBTのブランドであるZbtlinkが販売したものでした。EndlessDoorsを発見した後、Baines氏はAmazonで別会社DeepOrangeのルーターを購入しました。ニューヨークを拠点とするDeepOrangeも、他の多くの企業と同様、ZBTの技術を自社ブランドとして販売しているに過ぎません。
興味深いことに、このルーターにはEndlessDoorsこそ含まれていなかったものの、「SpeakingStone」および「DarkLantern」と名付けた別の2つのバックドアが存在していました。さらに詳しく調べたところ、これらはEndlessDoorsの初期バージョンであり、2019年頃のZBTファームウェアに実装されていたことが判明しました。
感染したZBTルーターは無数に存在
他の2つのインプラントとは異なり、DarkLanternはリスナー(待ち受け)型です。ZBT、あるいはそのC2インフラを掌握した攻撃者は、DarkLanternに感染したルーターへ能動的に接続を開始できます。ZBT製機器はこのマルウェアが待ち受けるUDPポートへのトラフィックを明示的に許可するよう設計されているため、サードパーティ製ファイアウォールなどで別途保護されていない限り、この作業は容易に行えてしまいます。
VulnCheckは3日間の調査で、オンライン上に露出しているDarkLanternバックドアをわずか203件検出しました。Baines氏によると、そのうち103件の接続は米国由来であり、残りの大半はロシア、台湾、中国、ウクライナ、イスラエルからのものでした。
SpeakingStoneは、EndlessDoorsと同様に制御用ドメインへ外向きの接続を開始するため、2つのうちより実用性の高いバックドアです。まずGPS座標を含む各種システムデータを送信し、その後は任意のシステムレベルのコマンドに加え、ドメインネームシステム(DNS)ハイジャックの実行など、特定の悪意あるコマンドも受け付けます。
幸運なことに、SpeakingStoneを設計した者は調査時点でC2ドメインの一つを未登録のままにしていたため、Baines氏はそのドメインを取得してシンクホール化することができました。これまでに同氏が捕捉したSpeakingStoneの接続は392件で、そのほぼすべてが中国発でした。
DarkLanternおよびSpeakingStoneへの感染数はおそらく数百件程度にとどまると見られます。これらのバージョンのインプラントはすでに旧式化しており、サポート終了(EOL)したホストに関連付けられているためです。これに対し、EndlessDoorsはZBTの現行ファームウェアイメージすべてに影響を及ぼしています。
EndlessDoorsの被害範囲を正確に把握しようとする中で、Baines氏は「ホワイトレーベル化されていることと、追跡が困難であることから、実態を把握するのは本当に難しい」と嘆いています。同氏の推測では、感染した機器の数は6桁(数十万台)規模に上るとのことです。
エッジデバイスのインプラントへの対策
Dark ReadingはこのZBTおよびDeepOrangeに本件について問い合わせましたが、記事執筆時点でいずれの企業からも回答はありませんでした。
Baines氏がメーカーに連絡を取った際のことを、同氏は次のように振り返ります。「ZBTはAmazonと自社サイトでの販売をすべて停止し、『これを修正します』と回答してきました。そして、このインプラントを取り除いたファームウェアを何本かリリースし、その後Amazonでの製品購入を再び許可しました。そこで先週、私はWiFlyerというブランド名で販売されている同社の製品を一つ購入してみたところ、インプラントが完全に未修正のまま入っていました」
バックドアが仕込まれたZBT製ルーターは現在もAmazonやAlibabaといったマーケットプレイスで、当たり障りのないブランド名の下で販売され続けています。そのため各組織は、自分たちが誤って中国のスパイ技術を導入してしまっていないかを、自発的に確認する必要があります。
「ZBTに特別に割り当てられているハードウェアMACアドレスが2つあるので、それらを調べて追跡してみてください」とBaines氏はアドバイスします。それ以外については、「私であれば、それらの機器のプラグを抜いて交換することしかしません」と述べています。
一部の組織にとっては、ルーターを引き剥がして交換するのは簡単な作業ではありません。ZBTが得意とする主要機能の一つは、4Gおよび5G接続を製品に組み込むことだと、Baines氏は指摘します。「つまり、こうした機器はより遠隔地の、必ずしも簡単にアクセスできない場所に設置されているということです。例えば石油パイプラインが挙げられます。パイプラインの監視ソフトウェアを稼働させるには、テレメトリデータを送り返すためのインターネット接続が必要です。携帯電話回線に接続するだけで済むという点で、これは有効な選択肢です。しかし、それがZBT製システムであることを人間が現地で確認し、さらに交換作業を行うのは、決して簡単なことではありません」
結局のところ、とBaines氏は言います。「自分が扱っているブランド名について、しっかりと把握しておく必要があります。特定の企業を宣伝するようなことは言いたくありませんが、CiscoやUbiquitiのような、世界で実績があり、信頼できるブランドに固執しておくのが良いかもしれません」
翻訳元: https://www.darkreading.com/vulnerabilities-threats/chinese-routers-sold-worldwide-backdoors
