Das erste Implantat nennt Baines „EndlessDoors". Dabei handelt es sich um ein zehn Jahre altes Open-Source-Werkzeug zur Linux-Fernsteuerung, das als Kernel-Thread für gewöhnliche Systemverarbeitung getarnt ist. Beim Einschalten baut der Router eine Verbindung zu einer auffälligen Domain auf – und passiert dabei praktisch jede Firewall, weil die Verbindung von innen nach außen initiiert wird. Betroffen sind Dutzende Router-Modelle sowie sämtliche aktuellen Firmware-Images von ZBT.
Das per Amazon beschaffte DeepOrange-Gerät enthielt EndlessDoors nicht, dafür zwei andere Backdoors, die Baines „SpeakingStone" und „DarkLantern" nannte. Beide erwiesen sich bei näherer Prüfung als frühere Varianten desselben Implantats, eingebaut in ZBT-Firmware um das Jahr 2019.
DarkLantern arbeitet als Lauschprozess: ZBT selbst oder ein Angreifer im Besitz der zugehörigen Kontrollinfrastruktur kann eine Verbindung in das infizierte Gerät hinein aufbauen. ZBT-Geräte sind ausdrücklich so konfiguriert, dass Verkehr zu dem UDP-Port erlaubt ist, an dem die Schadsoftware lauscht – sofern keine Firewall eines Drittanbieters davorsteht. In einem Zeitraum von drei Tagen registrierte VulnCheck lediglich 203 online exponierte DarkLantern-Instanzen; 103 der Verbindungen kamen laut Baines aus den USA, die übrigen überwiegend aus Russland, Taiwan, China, der Ukraine und Israel.
SpeakingStone hält Baines für die brauchbarere Variante, weil es wie EndlessDoors selbst nach außen Kontakt aufnimmt. Es übermittelt zunächst Systemdaten samt GPS-Koordinaten und nimmt anschließend beliebige Befehle auf Systemebene an – dazu spezielle Schadfunktionen wie das Kapern von DNS-Anfragen. Eine der Kontrolldomains war zum Zeitpunkt der Untersuchung nicht registriert, sodass Baines sie übernehmen und in ein Sinkhole umleiten konnte. Dort zählte er bislang 392 SpeakingStone-Verbindungen, nahezu ausschließlich aus China.
Die Zahl der DarkLantern- und SpeakingStone-Infektionen dürfte im Bereich einiger Hundert liegen, da diese Versionen veraltet sind und mit Geräten am Ende ihres Lebenszyklus zusammenhängen. Bei EndlessDoors sieht das anders aus – hier vermutet Baines eine sechsstellige Zahl betroffener Geräte, räumt aber ein: „Das White-Labeling und die schwierige Rückverfolgbarkeit machen es wirklich schwer, das zu sagen."
Auf seine Meldung hin habe der Hersteller zunächst reagiert: „ZBT hat alle Verkäufe auf Amazon und der eigenen Website eingestellt und gesagt: ‚Wir werden das beheben.’" Es sei Firmware erschienen, die das Implantat entfernt, danach sei der Verkauf über Amazon wieder aufgenommen worden. Doch ein von Baines kürzlich unter der Marke WiFlyer gekauftes Gerät sei „völlig ungepatcht und mit dem Implantat" geliefert worden.
Zur Erkennung rät Baines, nach zwei Hardware-MAC-Adressen zu suchen, die speziell ZBT zugewiesen sind. Ansonsten bleibe nur: „ausstecken und ersetzen". Genau das ist aufwendig, weil ZBT auf integrierte 4G- und 5G-Konnektivität spezialisiert ist und die Geräte deshalb an abgelegenen Orten stehen. Als Beispiel nennt Baines eine Ölpipeline, deren Telemetrie über das Mobilfunknetz übertragen wird: Jemanden dorthin zu schicken, um das Gerät als ZBT-System zu identifizieren und auszutauschen, sei „nicht trivial". Sein Fazit: Man müsse die Marken, mit denen man es zu tun hat, sehr genau kennen – „vielleicht bleibt man einfach bei den Ciscos und Ubiquitis dieser Welt".