중국산 ZBT 라우터, 비인증 공격자에게 루트 접근권 부여하는 임플란트 2개 탑재된 채 출하

VulnCheck가 선전 즈보통 전자(Shenzhen Zhibotong Electronics, ZBT) 제조 라우터 펌웨어에서 이전에 문서화되지 않은 공장 내장 임플란트 두 개를 공개했다. 두 임플란트 모두 인증되지 않은 원격 공격자가 영향받는 기기에서 루트 권한으로 명령을 실행할 수 있게 해준다.

이 임플란트는 해당 기업의 제로데이 연구팀이 SPEAKINGSTONE과 DARKLANTERN으로 명명했으며, 각각 CVE-2026-74232와 CVE-2026-74233으로 추적된다.

CNA(CVE 발급 기관)로서 두 식별자를 직접 발급한 VulnCheck는 각각 CVSS 4.0 기준 9.3점, CVSS 3.1 기준 9.8점으로 평가했다. 두 벡터 모두 권한 불필요, 사용자 상호작용 불필요 조건의 네트워크 공격으로 기록됐다.

yunmgrd 서비스로 실행되는 SPEAKINGSTONE은 하드코딩된 C2(명령제어) 서버에 UDP 10000번 포트로 비콘(주기적 신호)을 전송한다. 임플란트가 외부로 먼저 연결을 시도하는 구조이므로 NAT 환경과 일반적인 아웃바운드 필터링 뒤에서도 동작한다.

해당 프로토콜은 루트 권한으로 임의 명령을 실행하고, WAN PPPoE 사용자명과 비밀번호를 탈취하며, DNS 하이재킹 목록을 쓰고 읽고, 역방향 SSH 터널을 여는 메시지 유형을 지원한다.

"이것은 실행되는 모든 기기에 루트 접근권을 가진 감시 임플란트입니다"라고 VulnCheck는 공급망 연구 자료에서 밝혔다.

DARKLANTERN은 UDP 9992번 포트에서 infosrvd 서비스로 동작하며, 라우터의 기본 방화벽이 인터넷 어느 주소에서든 인바운드 연결을 허용하도록 해당 포트를 열어둔다. VulnCheck의 권고문에 따르면 이 서비스의 인증은 하드코딩된 솔트와 자체 주소 확인을 우회하는 올제로 와일드카드 MAC 값에 의존하여 사실상 무력화되어 있다.

8월 18일부터 21일까지 VulnCheck는 22개국에 걸쳐 인터넷에 노출된 DARKLANTERN 인스턴스 203개를 식별했으며, 이 기기들은 스스로 16개의 서로 다른 모델이라고 보고했다. 이 수치는 취약점을 이용해 침해된 기기가 아닌, 프로브에 응답한 호스트를 집계한 것이다.

두 임플란트 모두 미국 공급업체에서 88달러에 구매한 Deep Orange 3G/4G/LTE 라우터에서 발견됐다. 해당 기기는 화이트라벨 ZBT-WE826-T2로 펌웨어는 2019년에 빌드된 것이었다. 이 기기는 VulnCheck가 8월 5일 공개하고 최소 20개의 Zbtlink 라우터 모델에서 발견한 폰홈(phone-home) 임플란트 ENDLESSDOORS(CVE-2026-66747)보다 앞선 버전이다.

DARKLANTERN 명령 주입과 SPEAKINGSTONE C2 임플란트에 대한 VulnCheck의 권고문에는 다음과 같은 모델 및 펌웨어 빌드가 명시되어 있다.

• CVE-2026-74233 (DARKLANTERN) — 펌웨어 19.1101의 Zbtlink WE1326, WE357, WE5926, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WG108 및 WG3526; 19.1112의 WE2426-C; 20.0516의 WE5926-EC_QP; 19.051의 WF3526-P. 또한 19.1101의 CTN720-W1, LF-1541 및 MT7620N, 20.0622의 WRC1은 CVE 레코드에서 미상의 벤더로 분류됨.
• CVE-2026-74232 (SPEAKINGSTONE) — 3.0.0.4.528의 Zbtlink L3_V2_8, 19.1101의 WE826-T2, 1.0.0.2.007의 ZBT-7628, 1.0.0.3.001의 ZBT-ZBT7621; 1.0.0.2.000의 MoreQuick MQAC-7620, MQAC-7620A, MQAP-7620, MQAP-7620A 및 MQAP-7628; 미상 벤더의 1.0.0.2.014의 AP522, AP7628, 3.0.0.4.380의 HC5661A, 19.0809의 APG721B, 1.0.0.2.032의 HK300 및 1.0.0.2.044의 MAP-N10.

권고 페이지는 해당 빌드를 상한선으로 표시하는 반면, CVE 레코드는 각 펌웨어를 단일 정확한 빌드로 명명하고 다른 모든 버전의 기본 상태를 알 수 없음으로 설정한다. 어느 권고문에도 수정된 펌웨어 릴리스가 명시되어 있지 않아, 목록에 없는 빌드를 사용하는 소유자는 해당 결함이 자신의 기기에 적용되는지 판단할 공개된 근거가 없는 상태다.

ZBT는 동일한 하드웨어와 펌웨어를 자체 브랜드를 붙이는 리셀러에게 OEM으로 공급하므로 브랜드명이 아닌 모델명이 신뢰할 수 있는 확인 수단이다. The Hacker News가 8월 28일 IEEE 등록 MAC 접두사 데이터베이스를 통해 확인한 결과, 블록 78:A3:51과 F8:5E:3C가 모두 선전 즈보통 전자에 할당되어 있어 소유자가 기기 자체의 주소로 제조사를 식별할 수 있다.

SPEAKINGSTONE에는 1차 서버가 설정되지 않은 경우 접속하는 하드코딩된 백업 C2 도메인이 포함되어 있으며, VulnCheck는 해당 도메인이 미등록 상태임을 확인했다.

VulnCheck는 해당 도메인을 등록하고 프로토콜을 역공학하여 구현한 서버를 구축했다. 서버가 가동되는 즉시 비콘이 수신되기 시작했다.

8월 21일 기준으로 392개의 고유 기기가 신호를 보냈으며, 이 중 390대가 중국에 있었다. VulnCheck에 따르면 83%가 China Mobile 네트워크에 있었고, 392대 중 304대는 "CMCC"로 시작하는 SSID를 브로드캐스트했으며, 363대는 3.0.0.4.528 펌웨어를 실행하는 단일 모델 L3_V2_8이라고 스스로 보고했다.

기기가 백업 도메인에 접속하는 것은 1차 C2가 설정되지 않은 경우에만 해당하므로, 392대는 영향받는 기기 전체가 아닌 비대표적 하위 집합에서 도출된 최솟값이다.

VulnCheck는 자체 공개한 Known Exploited Vulnerabilities 카탈로그에 CVE-2026-74233을 등재했으며, 해당 카탈로그의 공개 기준은 취약점이 "실제 환경에서 악용된 것으로 공개 보고"되어야 한다는 것이다.

동일 CVE에 대해 8월 27일 기록된 CISA Vulnrichment 보강 정보는 악용 가능성을 개념 증명(proof of concept) 수준으로 평가하는데, CISA의 문서에 따르면 이는 분석 시점에 공개된 개념 증명이 존재함을 의미한다. The Hacker News가 2026.08.27 버전의 CISA Known Exploited Vulnerabilities 카탈로그를 확인한 결과, 세 개의 ZBT CVE 중 어느 것도 8월 28일 기준으로 등재되어 있지 않았다.

VulnCheck는 다음의 IoC(침해 지표)를 공개했다.

• 도메인 — SPEAKINGSTONE 1차 C2인 www.ac-link[.]com, 그리고 VulnCheck가 등록한 백업 도메인 www.findmyipaddr[.]com
• IP 주소 — 47.107.224[.]89, The Hacker News가 8월 28일 확인 당시 1차 C2 도메인이 여전히 해석되던 선전 소재 Alibaba Cloud 주소
• 포트 — DARKLANTERN 인바운드용 UDP/9992, 응답용 UDP/8897, SPEAKINGSTONE 비콘 아웃바운드용 UDP/10000
• 서비스 및 경로 — infosrvd, yunmgrd, inetdetect, /etc/exec/cmd, /tmp/info.txt, /tmp/yunclient.conf
• SHA-256 해시 — b77811db4d218c65670a6c9a5b33c30ff81c6d779e15d658643138771178a818 (yunmgrd), 7e2e036fec2fe7ab4bbd43978d9296563894c92a112f5ac2f39957f12108e245 (infosrvd), ae6c356f1f09260b859f84d994ef8423540a6c0bdf98510d86b85834283e4926 (inetdetect)

이전에 공개한 임플란트에 대한 VulnCheck의 권고는 엔드포인트를 이그레스(아웃바운드)와 리졸버(DNS) 양 측에서 차단 및 경보 설정하고, 라우터의 LAN을 신뢰할 수 없는 구간으로 처리하라는 것이었다.

DARKLANTERN이 UDP/9992를 수신하므로 네트워크 경계에서 해당 포트의 인바운드 트래픽을 차단하면 수정 릴리스가 나오기 전까지 해당 리스너를 차단할 수 있다.

VulnCheck는 연구와 함께 Suricata 및 YARA 규칙을 공개했는데, 그중 하나는 UDP 8898번 포트로 수신되는 DARKLANTERN 명령 출력에 대한 경보를 발령하도록 되어 있으나 본문과 스캐너는 모두 8897번 포트를 사용한다.

Zbtlink는 이전의 ENDLESSDOORS 구성 요소에 대해 웹사이트 성명을 통해, 해당 기능이 오직 고객의 명시적 요청과 승인에 의해서만 사용되는 사후 기술 지원 도구로만 기능한다고 밝혔다.

"이 구성 요소는 무단 접근에 사용된 적이 없습니다"라고 회사는 밝혔다.

Zbtlink 대변인은 8월 6일 The Hacker News에 해당 기능이 "오직 사후 유지보수만을 위한 것"이며 다른 목적으로는 사용되지 않는다고 말했다.

"이는 일반적으로 소프트웨어 디버깅 지원을 위해 샘플 기기에만 유지됩니다"라고 대변인은 덧붙였다.

이 성명은 ENDLESSDOORS만을 대상으로 하며, Zbtlink는 yunmgrd 또는 infosrvd에 대해 어떠한 공개 성명도 발표하지 않았다.

The Hacker News는 8월 28일 해당 회사의 펌웨어 다운로드 페이지가 활성 상태이며 8월 17일자 이미지 8개를 제공하고 있음을 확인했는데, 그중에는 새로운 권고문에 명시된 WE826-T2와 WE2426-C 빌드가 포함되어 있었다.

VulnCheck는 해당 임플란트가 ZBT 펌웨어와 함께 출하된다고 밝히면서, 동일한 플랫폼을 위해 자체 펌웨어를 개발하는 MOFI Network를 언급했으며 해당 이미지에서는 세 임플란트 모두 발견되지 않았다.

The Hacker News는 현재 펌웨어에 두 구성 요소가 여전히 포함되어 있는지에 대해 Zbtlink에, 그리고 카탈로그 등재 근거에 대해 VulnCheck에 각각 문의했으며 답변이 오는 대로 기사를 업데이트할 예정이다.