Alertes sécurité : Des backdoors critiques découverts dans des routeurs ZBT vendus sous marques blanches
Des routeurs industriels et de bureau fabriqués par ZBT, largement distribués à l'échelle mondiale sous des marques tierces (white-label), intègrent des portes dérobées (backdoors) et des implants logiciels non documentés. Cette découverte met en lumière une faille systémique de la chaîne d'approvisionnement matérielle IT, exposant les réseaux d'entreprise à des compromissions silencieuses et persistantes.
En bref
- Implants multiples : Des chercheurs ont identifié plusieurs mécanismes d'accès non autorisés dans le firmware des routeurs ZBT, permettant un contrôle total ou partiel de l'appareil.
- Distribution massive : Ces appareils sont vendus sous de nombreuses marques génériques ou régionales, rendant l'identification de la vulnérabilité complexe pour les administrateurs.
- Vulnérabilités critiques : Les backdoors incluent des comptes d'administration cachés, des services de shell distants non sécurisés et potentiellement des canaux de télécommande.
- Impact sur la confiance : L'incident soulève des questions sur l'intégrité des fournisseurs OEM et la nécessité d'auditer les firmwares des équipements réseau "low-cost".
- Action immédiate : Les consultants IT doivent identifier les équipements ZBT dans leur parc, isoler les instances compromises et appliquer les correctifs ou remplacer les unités affectées.
Analyse technique des implants découverts
Les recherches ont révélé que les firmwares des routeurs ZBT contiennent des composants logiciels supplémentaires qui ne figurent pas dans la documentation officielle ni dans les registres CVE standard. Ces implants ne sont pas de simples bugs, mais des fonctionnalités délibérément intégrées par le fabricant, créant une surface d'attaque permanente.
Le premier vecteur d'attaque identifié est un compte d'administration par défaut non supprimable. Contrairement aux comptes root ou admin standard, ce compte possède des privilèges élevés et n'est pas visible dans l'interface web d'administration classique. Il permet à un attaquant de se connecter via SSH ou Telnet, même si ces services sont désactivés dans les paramètres visibles.
Deuxièmement, un service de shell distant a été découvert, écoutant sur un port non standard. Ce service n'est pas protégé par authentification forte ou par liste blanche IP par défaut. Une fois connecté, l'attaquant obtient un shell bash complet avec les droits root, permettant l'exécution de commandes arbitraires, la modification des règles de pare-feu, l'interception du trafic (man-in-the-middle) et l'installation de persistentes (persistences).
Enfin, des traces de code suggèrent l'existence d'un mécanisme de télécommande (command and control - C2). Bien que les détails exacts du protocole C2 soient encore en cours d'analyse approfondie, la présence de fonctions d'envoi périodique de données et de réception de commandes distantes indique que ces routeurs pourraient être utilisés pour former un botnet ou pour espionner le trafic réseau des organisations ciblées.
# Exemple de vérification manuelle (à adapter selon le modèle ZBT spécifique)
# Tentative de connexion au port suspecté (ex: 8443)
nc -vz <IP_ROUTEUR> 8443
# Recherche de comptes cachés dans les fichiers de configuration (si accès local/consolé)
cat /etc/passwd | grep -v "nobody"
cat /etc/shadow
# Vérification des processus en cours pour détecter des backdoors actifs
ps aux | grep -E "ssh|telnet|nc|ncat"
netstat -tlnp | grep <port_suspect>
Pourquoi les routeurs white-label sont-ils si vulnérables ?
Le modèle économique des routeurs white-label repose sur la réduction des coûts au maximum. Les fabricants OEM comme ZBT produisent le matériel, et les distributeurs régionaux ou les intégrateurs y apposent leur propre marque. Cette chaîne de valeur implique souvent :
- Absence de revue de code indépendante : Le firmware est développé en interne par le fabricant sans audit tiers rigoureux.
- Mise à jour des patches lente ou inexistante : Les marques blanches n'ont souvent pas de processus de réponse aux incidents de sécurité. Les correctifs, s'ils existent, peuvent mettre des mois à être déployés.
- Opacité des composants : Les entreprises clientes achètent un "routeur Cisco-like" ou "MikroTik-like" sans savoir qu'il s'agit en réalité d'un ZBT. Les outils de scan de vulnérabilités (comme Nessus ou Qualys) peuvent ne pas détecter ces backdoors spécifiques si la signature n'est pas connue.
- Utilisation dans des environnements critiques : Ces routeurs sont souvent utilisés dans des PME, des succursales, des sites industriels ou des infrastructures de télécoms secondaires, là où les ressources de sécurité sont limitées.
Cette opacité signifie qu'un administrateur système peut passer des années à gérer un parc de routeurs sans savoir qu'il est potentiellement compromis depuis le jour de la mise en service.
Impact sur les architectures réseau d'entreprise
La présence de backdoors dans des équipements réseau de bas de chaîne (edge) a des conséquences en cascade sur la sécurité globale :
- Compromission du trafic de management : Si l'interface de gestion du routeur est exposée (même accidentellement) ou accessible depuis le LAN interne, un attaquant peut modifier les routes, rediriger le trafic vers des serveurs malveillants ou désactiver les pare-feu.
- Pivotage réseau (Lateral Movement) : Un routeur compromis peut servir de point d'entrée pour atteindre les serveurs internes, les bases de données ou les postes de travail. Les outils de tunneling peuvent être installés pour créer des canaux chiffrés invisibles.
- Espionnage industriel et commercial : Pour les clients sensibles (défense, santé, finance), l'interception du trafic via un routeur compromis permet de voler des données confidentielles sans laisser de trace évidente dans les journaux d'application.
- Instabilité des services : Les ressources CPU/RAM consommées par les processus malveillants peuvent dégrader les performances réseau, provoquant des lenteurs ou des pannes intermittentes difficiles à diagnostiquer.
Stratégies de détection et réponse pour les consultants IT
Face à cette menace, les consultants en administration système et sécurité doivent adopter une approche proactive. Ne comptez pas uniquement sur les alertes des éditeurs de sécurité.
1. Inventaire approfondi des équipements réseau
Le premier pas est d'identifier tous les routeurs et commutateurs dans le parc. Utilisez des outils de découverte réseau (Nmap, Zenmap, ou des solutions d'inventaire comme Lansweeper) pour scanner le réseau.
# Scan Nmap pour identifier les routeurs et leurs ports ouverts
nmap -sS -sV -O -p- --script=default <adresse_IP_sous_réseau>
# Recherche spécifique des agents ZBT ou des marques white-label connues
nmap -sV --script banner <IP_cible> | grep -i "zbt\|white-label\|generic"
Vérifiez les étiquettes physiques des appareils. Si le logo de la marque n'est pas celui d'un grand constructeur (Cisco, Juniper, Fortinet, etc.), recherchez les informations de fabrication. Les boîtes ou les étiquettes arrière mentionnent souvent le modèle exact (ex: ZBT WG3526).
2. Audit des firmwares
Une fois les modèles ZBT identifiés, téléchargez la version exacte du firmware en cours d'utilisation et comparez-la aux versions corrigées disponibles sur les sites officiels des marques blanches ou de ZBT.
- Vérifiez la date de dernière mise à jour.
- Consultez les notes de version (release notes) pour toute mention de "security fix" ou "backdoor removal".
- Si le firmware est vieux (plus de 2 ans), considérez l'équipement comme compromis.
3. Isolation et remplacement
Si des backdoors sont confirmés ou fortement suspectés :
- Isoler l'équipement : Déconnectez le routeur du réseau ou placez-le dans un VLAN de quarantaine.
- Capturer les logs : Avant de redémarrer, extrayez tous les journaux disponibles (logs système, logs d'authentification, logs de trafic) pour analyse forensique.
- Remplacer l'équipement : Dans la plupart des cas, le remplacement est la seule solution sûre. Un firmware re-flashe peut ne pas supprimer tous les implants, surtout s'ils sont intégrés dans le bootloader ou le système de fichiers en lecture seule.
- Rotation des credentials : Si le routeur était connecté à des serveurs de management (SNMP, SSH, API), changez tous les mots de passe associés.
Bonnes pratiques pour consultants IT
Pour éviter de se retrouver dans cette situation à l'avenir, intégrez ces pratiques dans vos processus d'audit et de déploiement :
- Politique de fournisseurs approuvés : Limitez l'achat d'équipements réseau à des fournisseurs offrant des certifications de sécurité (Common Criteria, FIPS) et une réputation solide. Évitez les marques inconnues pour les infrastructures critiques.
- Audit de la chaîne d'approvisionnement : Lors de l'acquisition de matériel "low-cost", exigez la documentation technique complète et la traçabilité du fabricant OEM. Si le fournisseur ne peut pas identifier le fabricant final, c'est un signal d'alarme.
- Segmentation rigoureuse : Isolez toujours le réseau de gestion (management VLAN) du réseau utilisateur. Utilisez des ACLs strictes pour n'autoriser l'accès aux interfaces de gestion que depuis des adresses IP spécifiques (postes d'admin, serveurs de monitoring).
- Monitoring actif : Déployez des solutions de monitoring de trafic (NetFlow, sFlow) et de détection d'intrusion (IDS/IPS) qui alertent sur les connexions SSH/Telnet suspectes vers des équipements réseau, en particulier depuis des sources internes inattendues.
- Formation des équipes : Sensibilisez les administrateurs réseau aux risques des équipements white-label. Ils doivent être en mesure de reconnaître les signes de compromission (comptes inconnus, ports ouverts non documentés, trafic sortant anormal).
Points clés
L'incident des routeurs ZBT est un rappel brutal que la sécurité ne se limite pas à la configuration logicielle. Le matériel lui-même peut être une menace. Pour les consultants IT, cela signifie :
- Vérifier l'origine de chaque équipement réseau avant de le déployer.
- Surveiller activement les connexions aux interfaces de gestion.
- Remplacer les équipements suspects plutôt que de tenter de les "nettoyer".
- Documenter la chaîne d'approvisionnement pour garantir la traçabilité.
La confiance dans les fournisseurs doit être gagnée, pas supposée. En cas de doute, la prudence est la meilleure défense.
Source : Dark Reading
