SPEAKINGSTONE läuft als Dienst yunmgrd und sendet Beacons über UDP-Port 10000 an einen fest einprogrammierten Command-and-Control-Server. Weil das Implantat die Verbindung nach außen aufbaut, funktioniert es auch hinter NAT und gewöhnlicher Ausgangsfilterung. Sein Protokoll kennt Nachrichtentypen, die beliebige Befehle als Root ausführen, Benutzername und Passwort des WAN-PPPoE-Zugangs abziehen, eine DNS-Hijack-Liste schreiben und lesen sowie einen Reverse-SSH-Tunnel öffnen. “Das ist ein Überwachungsimplantat mit Root-Zugriff auf jedes Gerät, auf dem es läuft”, schreibt VulnCheck in seiner Lieferketten-Untersuchung.
DARKLANTERN arbeitet als Dienst infosrvd auf UDP-Port 9992, den die Standard-Firewall des Routers für eingehende Verbindungen von jeder Internetadresse öffnet. Die Authentifizierung des Dienstes bezeichnet VulnCheck als wirkungslos: Sie stützt sich auf ein fest hinterlegtes Salt und einen Platzhalter-MAC-Wert aus lauter Nullen, der die eigene Adressprüfung aushebelt. Zwischen dem 18. und 21. August fand VulnCheck 203 aus dem Internet erreichbare DARKLANTERN-Instanzen in 22 Ländern, die sich selbst 16 verschiedenen Modellen zuordneten. Die Zahl zählt Hosts, die auf eine Anfrage antworteten, nicht nachweislich kompromittierte Geräte.
Aufschlussreich ist ein Sinkhole-Experiment: SPEAKINGSTONE trägt eine fest einprogrammierte Ersatz-C2-Domain, die es ansteuert, wenn nie ein primärer Server konfiguriert wurde — und diese Domain war unregistriert. VulnCheck registrierte sie und betrieb dort einen Server mit einer nachgebauten Implementierung des Protokolls. Beacons trafen ein, sobald der Server online war. Bis zum 21. August meldeten sich 392 einzelne Geräte, davon 390 in China. 83 Prozent hingen im Netz von China Mobile, 304 der 392 sendeten SSIDs, die mit “CMCC” beginnen, und 363 gaben ein einziges Modell an: L3_V2_8 mit Firmware 3.0.0.4.528. Weil nur Geräte ohne konfigurierten Primärserver die Ersatzdomain kontaktieren, ist die Zahl eine Untergrenze aus einer nicht repräsentativen Teilmenge.
Die Advisories nennen betroffene Modelle und Firmware-Stände, führen sie aber als Obergrenzen, während die CVE-Einträge jeweils genau einen Build benennen und den Status aller anderen Versionen auf unbekannt setzen. Eine korrigierte Firmware benennt keines der beiden Advisories. Über die IEEE-Datenbank der MAC-Präfixe bestätigte The Hacker News am 28. August, dass die Blöcke 78:A3:51 und F8:5E:3C beide Shenzhen Zhibotong Electronics zugewiesen sind — Besitzer können den Hersteller also an der Geräteadresse erkennen.
VulnCheck führt CVE-2026-74233 im eigenen Katalog bekannter ausgenutzter Schwachstellen, dessen Kriterien eine “öffentlich gemeldete Ausnutzung in freier Wildbahn” verlangen. Die Vulnrichment-Anreicherung der CISA, am 27. August zum selben CVE erfasst, stuft die Ausnutzung dagegen als Proof of Concept ein. In der KEV-Liste der CISA (Version 2026.08.27) taucht laut The Hacker News keiner der drei ZBT-CVEs auf.
Als Gegenmaßnahme empfiehlt VulnCheck, eingehenden Verkehr auf UDP/9992 am Netzwerkrand zu blockieren, solange keine korrigierte Version vorliegt; für das frühere Implantat riet das Unternehmen dazu, die Endpunkte am Ausgang und am Resolver zu sperren und zu alarmieren und das LAN des Routers als nicht vertrauenswürdig zu behandeln. Veröffentlicht wurden zudem Suricata- und YARA-Regeln — eine davon alarmiert auf DARKLANTERN-Befehlsausgaben auf UDP-Port 8898, während Begleittext und Scanner 8897 verwenden.
Zu ENDLESSDOORS erklärte Zbtlink auf seiner Website, die Komponente diene ausschließlich dem technischen Kundendienst und werde nur auf ausdrückliche Anforderung und Autorisierung eines Kunden genutzt: “Diese Komponente wurde nie für unbefugten Zugriff verwendet.” Ein Sprecher sagte The Hacker News am 6. August, das Merkmal sei “ausschließlich” für die Wartung nach dem Verkauf gedacht und werde in der Regel nur auf Mustergeräten belassen, um Kunden beim Software-Debugging zu helfen. Zu yunmgrd und infosrvd hat sich das Unternehmen bislang nicht öffentlich geäußert. The Hacker News stellte am 28. August fest, dass die Firmware-Downloadseiten aktiv waren und acht auf den 17. August datierte Abbilder auslieferten, darunter Builds für WE826-T2 und WE2426-C. VulnCheck betont, die Implantate kämen mit der ZBT-Firmware, und verweist auf MOFI Network, dessen eigene Firmware für dieselbe Plattform im untersuchten Abbild keines der drei Implantate enthielt.