VulnCheck bezeichnet die „nach Hause telefonierenden“ Implantate unter dem Codenamen ENDLESSDOORS. Im Kern handele es sich um ein kleines Werkzeug namens rctl, kurz für „Remote Control Linux“, erklärte Jacob Baines, Technikchef von VulnCheck. Dieses Projekt sei am 14. Januar 2015 auf GitHub hochgeladen und danach nie wieder verändert worden. Das Repository implementiere einen einfachen Client und Server für Command-and-Control.
Nach Angaben von Baines lauscht der Server auf Port 7000 auf eingehende Verbindungen. Er könne dem Client einzelne Shell-Befehle schicken oder ihn anweisen, eine Reverse-Bash-Shell zu starten. Der von VulnCheck auf einem Zbtlink AX3000 analysierte „kworker“-Prozess sei eine angepasste Variante von rctl.
Die Forscher heben hervor, dass das Protokoll praktisch keine Schutzmechanismen bietet. Es gebe weder Handshake noch Verhandlung noch Authentifizierung. Eine reservierte Zeichenkette mit dem Namen „rctlbash“ weise das Implantat an, eine zweite Verbindung zu Port 7001 aufzubauen, ein Pseudo-Terminal zuzuweisen, /bin/sh zu starten und die Verbindung dorthin durchzuleiten. Das sei, so Baines, „eine live nutzbare interaktive Root-Shell“.
Damit lasse sich die ausgehende rctl-Kommunikation kapern. Laut VulnCheck kann jeder, der sich im Netzwerkpfad befindet, die Kommunikation zwischen Client und Server übernehmen. Ebenso könne jede Stelle, die die Auflösung von rbdg4nzqadui.wikaba[.]com oder die dazugehörige Zieladresse kontrolliert, jedes ENDLESSDOORS-Implantat steuern, das eine Verbindung nach außen aufzubauen versucht. Ein Angreifer könne so die Kontrolle über den Router übernehmen, ohne dass das Gerät selbst aus dem Internet erreichbar sein müsse.
VulnCheck zufolge enthält jede auf der Download-Seite von zbtlink.com gelistete Firmware das rctl-Implantat und startet es beim Booten über ein init.d-Skript namens „skworker“. Sämtliche betroffenen Modelle hätten dieselben vier primären und sekundären Endpunkte kontaktiert. Der Quelltext nennt mindestens 20 Modelle als betroffen; insgesamt sprechen die Forscher von 21 verfügbaren Firmware-Abbildern.
Auf der Firmware-Download-Seite von Zbtlink wird Nutzern inzwischen ein Hinweis angezeigt. Darin erklärt der Hersteller, man habe Sicherheitslücken in ausgewählten Router-Firmware-Versionen festgestellt. Die betroffenen Firmware-Versionen seien vorsorglich vorübergehend aus den Download-Kanälen entfernt worden. Das Entwicklungsteam arbeite intensiv daran, abgesicherte und validierte Firmware mit Fehlerbehebungen zu entwickeln und zu prüfen. Sobald eine korrigierte, sicherheitsgeprüfte Firmware verfügbar sei, werde man die Nutzer umgehend informieren.
The Hacker News teilte mit, den chinesischen Router-Hersteller um eine weitere Stellungnahme gebeten zu haben. Bis dahin rät der Bericht Kunden, die Prozessliste zu prüfen, das Dateisystem nach Dateien wie /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg und /etc/init.d/skworker zu durchsuchen und die ausgehenden Verbindungen zu blockieren.