Investigadores da VulnCheck identificaram implantes de controlo remoto instalados de fábrica no firmware de routers fabricados pela chinesa Shenzhen Zhibotong Electronics (ZBT), equipamentos vendidos em todo o mundo sob dezenas de marcas diferentes através de mercados online. O primeiro implante, batizado ENDLESSDOORS, foi divulgado a 5 de agosto de 2026; no final do mês, a mesma equipa revelou mais dois componentes, DARKLANTERN e SPEAKINGSTONE, encontrados em firmware mais antigo. Todos permitem, na prática, execução de comandos com privilégios de root sem autenticação — e não existe correção simples do lado do utilizador.
Resposta rápida: Routers da chinesa ZBT, vendidos com marcas como Zbtlink, Wiflyer e outras marcas brancas, incluem implantes de fábrica que ligam a servidores de comando e controlo e aceitam comandos como root. O caso principal está identificado como CVE-2026-66747, classificado como crítico. Como não há firmware corrigido publicado para o problema original, a recomendação dos investigadores é identificar o modelo exato, isolar o equipamento da rede e substituí-lo — mudar a palavra-passe ou fazer reset não resolve.
Um fabricante que quase ninguém conhece, em milhões de caixas
O nome ZBT dificilmente aparece na etiqueta do equipamento. Segundo a Dark Reading, a empresa é o fabricante de routers mais vendido no Alibaba.com, plataforma onde a produção anual declarada é de 3,57 milhões de unidades, e o próprio marketing da ZBT afirma exportar para mais de 50 países e regiões. Esses equipamentos chegam ao consumidor final através de outras empresas, em mercados como Filipinas, Índia, Canadá, Austrália, Alemanha, Bulgária, Áustria, Rússia e Estados Unidos.
É aqui que está o problema para quem compra: a ZBT vende abertamente serviços OEM e ODM, ou seja, constrói e remarca o mesmo hardware e o mesmo firmware para qualquer cliente que queira colocar o seu nome no produto, pelo que um “Wiflyer WG3526” é o mesmo dispositivo afetado que o seu equivalente com etiqueta ZBT. A recomendação dos investigadores é inequívoca: verificar o número de modelo, não o logótipo da caixa.
ENDLESSDOORS: um processo disfarçado de thread do kernel
O aviso técnico da VulnCheck descreve o implante com detalhe. Trata-se da ferramenta de código aberto ycsunjane/rctl integrada como pacote OpenWrt (librctl.so), iniciada no arranque e executada como root sob o nome de processo kworker, para se confundir com as threads legítimas [kworker/*] do kernel. O componente não abre qualquer porto à escuta: liga para fora, em TCP e em texto simples, para um servidor de comando e controlo fixo (canal de comandos no porto 7000 e shell interativa no 7001), sem autenticação nem cifra, repetindo a tentativa de contacto a cada 35 segundos aproximadamente. O manipulador de comandos entrega qualquer string recebida ao popen() com uid=0 e existe um comando reservado, rctlbash, que devolve uma shell de root interativa.
Segundo a VulnCheck, todas as imagens de firmware disponíveis na página de descarregamentos da zbtlink.com — cerca de duas dezenas — incorporavam o implante rctl, arrancado por um script init.d chamado skworker, todas ligando para o exterior e todas exploráveis da mesma forma. O problema recebeu o identificador CVE-2026-66747, classificado como CRÍTICO com CVSS 9.3 (CVSS 4.0) e associado à categoria CWE-506, código malicioso embebido; algumas análises referem uma pontuação de 9.8 na escala CVSS 3.1. Quanto à dimensão, o CTO da VulnCheck, Jacob Baines, estima que pelo menos 100 mil destes routers estejam implantados a nível global, sem ser possível determinar com precisão onde.
Dois implantes mais antigos: DARKLANTERN e SPEAKINGSTONE
A investigação não terminou aí. A VulnCheck comprou a um vendedor norte-americano na Amazon um router celular “Deep Orange” de 88 dólares e verificou que era um ZBT-WE826-T2 remarcado; o firmware, de 2019, era demasiado antigo para conter o ENDLESSDOORS, mas trazia outros dois implantes. Ambos escritos em Nim, comunicam por UDP e são lançados pelo mesmo binário, um watchdog de conetividade chamado inetdetect: o SPEAKINGSTONE liga de volta à infraestrutura na nuvem da ZBT e aceita comandos remotos, enquanto o DARKLANTERN fica à escuta na interface WAN e executa comandos arbitrários sem autenticação.
O DARKLANTERN corre como serviço infosrvd no porto UDP 9992 e a firewall predefinida do router permite explicitamente ligações de entrada a esse porto a partir de qualquer ponto da Internet. As proteções são frágeis: o checksum do comando usa um salt fixo e o filtro de endereços MAC pode ser contornado enviando um campo MAC composto por zeros. O SPEAKINGSTONE é ainda mais intrusivo: a mensagem de registo envia o conteúdo de /tmp/info.txt, que inclui modelo, versão de firmware, MAC, uptime, SSID, IP da LAN e coordenadas GPS, e a VulnCheck classifica-o como implante de vigilância com acesso root, sublinhando que ferramentas de gestão na nuvem não roubam credenciais do ISP nem sequestram DNS.
| Implante | Comportamento | Serviço/processo | Canal |
|---|---|---|---|
| ENDLESSDOORS | Liga para fora e aceita comandos como root | kworker / librctl.so, script skworker | TCP 7000 (comandos) e 7001 (shell), texto simples |
| DARKLANTERN | Fica à escuta na WAN, sem autenticação | infosrvd, lançado por inetdetect | UDP 9992, permitido pela firewall de fábrica |
| SPEAKINGSTONE | Beacon periódico com dados da rede e comandos remotos | yunmgrd, lançado por inetdetect | UDP, com domínio C2 de recurso |
Quantos equipamentos estão realmente expostos
Entre 18 e 21 de agosto de 2026, a VulnCheck identificou 203 instâncias do DARKLANTERN acessíveis pela Internet em 22 países, correspondendo a 16 modelos distintos autodeclarados — cada uma delas com uma shell de root sem autenticação alcançável a partir da Internet pública. De acordo com Baines, 103 dessas ligações tinham origem nos Estados Unidos, seguindo-se sobretudo Rússia, Taiwan, China, Ucrânia e Israel. Os próprios investigadores relativizam o número: tratando-se de modelos mais antigos, com firmware de 2019, admitem estar a apanhar apenas a cauda da implantação, pelo que a base instalada terá sido bem maior.
No caso do SPEAKINGSTONE, a equipa usou uma técnica clássica de sinkholing: o implante tem um domínio C2 de recurso codificado, www.findmyipaddr[.]com, usado quando não existe C2 primário configurado — domínio que a VulnCheck registou para observar as ligações recebidas. Até à data, a empresa publicou regras de deteção e não há confirmação pública de uma campanha de tomada de controlo em curso.
Cronologia do caso
| Data (2026) | Acontecimento |
|---|---|
| 5 de agosto | Divulgação do ENDLESSDOORS e do CVE-2026-66747, com mais de 20 modelos listados |
| Dias seguintes | A ZBT retira o firmware afetado da área de descargas e suspende a venda dos modelos visados |
| 18 a 21 de agosto | Varrimento da Internet identifica 203 instâncias expostas do DARKLANTERN em 22 países |
| Final de agosto | Publicação da segunda investigação, com DARKLANTERN e SPEAKINGSTONE em firmware de 2019 |
Sobre a reação do fabricante: a ZBT anunciou a suspensão imediata da venda dos modelos afetados e retirou o firmware do site, indicando numa mensagem na página de descargas que as versões afetadas foram temporariamente removidas por precaução e que a equipa de engenharia trabalha em firmware corrigido. Em resposta ao ENDLESSDOORS, a empresa afirmou tratar-se de uma “ferramenta de apoio técnico pós-venda” — justificação que a VulnCheck considera insustentável no caso do SPEAKINGSTONE.
Como verificar e o que fazer
- Inventariar por modelo. Baines aconselha a confrontar os modelos listados no relatório com as compras da organização e a procurar as marcas Zbtlink, ZBT, ZBTWiFi e Wiflyer, além de CPE celulares sem marca e de proveniência pouco clara.
- Fotografar a etiqueta. Registar marca, modelo exato, revisão de hardware, número de série e versão de firmware antes de alterar definições.
- Não confiar em reset nem em nova palavra-passe. Como não existe firmware corrigido na divulgação, o caminho é identificar o modelo, isolar o router e planear a substituição.
- Tratar como problema de confiança. A VulnCheck nem sequer coordenou a divulgação com o fabricante, por entender que não se tratava de um defeito a corrigir, mas de funcionalidade implementada intencionalmente. Baines sugere procurar os endereços MAC atribuídos à ZBT e, no essencial, desligar e substituir os equipamentos.
- Alargar o inventário. Incluir routers de viagem, gateways celulares, equipamentos de veículos, material de retaguarda hoteleiro, ligações de sucursais e dispositivos sem marca fornecidos por prestadores.
Porque é que isto importa em Portugal
Não há, até ao momento, dados públicos que quantifiquem a presença destes equipamentos em Portugal. Ainda assim, o padrão de venda — marcas brancas em plataformas de comércio eletrónico, routers 4G/5G baratos para escritórios, sucursais, obras, quiosques ou videovigilância — é exatamente o mesmo que se observa no mercado nacional. Para uma PME, um router deste tipo colocado à cabeça da rede significa que todo o tráfego, incluindo dados pessoais de clientes e colaboradores, passa por um equipamento cuja cadeia de confiança está em causa.
Do ponto de vista regulatório, o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2) coloca a segurança da cadeia de abastecimento no centro das obrigações de gestão de risco das entidades abrangidas: escolher fornecedores, conhecer a proveniência do equipamento de rede e manter inventário atualizado deixaram de ser boas práticas facultativas. Um acesso privilegiado não autorizado a um router que encaminha dados pessoais pode ainda configurar uma violação de dados nos termos do RGPD, com deveres de notificação à CNPD. Organizações que detetem atividade suspeita associada a estes dispositivos devem reportar ao CNCS/CERT.PT, que centraliza a resposta a incidentes a nível nacional.
O caso soma-se a uma pressão regulatória crescente sobre o equipamento de rede de origem estrangeira. Nos Estados Unidos, a FCC anunciou em março restrições à importação de determinados routers de consumo fabricados no estrangeiro, invocando segurança nacional e afirmando que estes equipamentos foram explorados para atacar lares, perturbar redes, conduzir espionagem e roubar propriedade intelectual, referindo ainda o seu envolvimento nos ataques Volt, Flax e Salt Typhoon. Na União Europeia, o caminho é outro: obrigações de cibersegurança por defeito para produtos com elementos digitais, ao abrigo do Regulamento Cibersegurança (Cyber Resilience Act), cujas exigências principais para fabricantes se tornam plenamente aplicáveis em 2027. Até lá, a defesa mais eficaz continua a ser a mais aborrecida — saber exatamente que equipamento está ligado à rede, e quem o fabricou.
Perguntas frequentes
Como sei se tenho um router afetado?
Pelo número de modelo e não pela marca. A lista divulgada inclui modelos como CPE2801, WE1326, WE826-T3-DSIM, WG108, WG3526 ou Z8102AX-2DSIM e a população afetada pode ser maior do que os vinte modelos examinados.
Mudar a palavra-passe ou fazer reset resolve?
Não. O implante arranca com o router e liga para o exterior, pelo que alterar palavras-passe não restaura a confiança no firmware afetado. A orientação é isolar e substituir o equipamento.
Estar atrás de NAT protege a minha rede?
Não no caso dos implantes que ligam para fora. Como o implante inicia a ligação, funciona por trás de NAT e de filtragem de saída comum. No caso do DARKLANTERN, a firewall de origem permite ligações de entrada ao porto usado.
O que devem fazer as empresas abrangidas pelo novo regime?
Rever o inventário de equipamento de rede, incluindo material adquirido em marketplaces ou fornecido por prestadores, documentar a proveniência, registar a decisão de substituição e avaliar a necessidade de notificação de incidente ao CNCS/CERT.PT e, havendo dados pessoais em risco, à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela VulnCheck, no registo CVE-2026-66747 e em comunicações do fabricante.