Alertes réseau : les backdoors intégrées aux routeurs grand public chinois
La prolifération de routeurs low-cost sur le marché mondial a révélé une faille systémique majeure : la présence de portes dérobées logicielles et matérielles, souvent non documentées, qui permettent à des tiers d'accéder au trafic local sans l'accord de l'utilisateur final.
En bref
- Menace persistante : Des analyses récentes ont identifié des endpoints d'administration cachés et des certificats auto-signés douteux dans les firmwares de plusieurs marques OEM chinoises.
- Surface d'attaque élargie : Ces backdoors ne ciblent pas seulement l'administrateur local, mais permettent aussi le sniffing du trafic LAN/WAN et l'injection de paquets.
- Impact entreprise : Bien que destinés au grand public, ces équipements sont souvent déployés dans des TPE/PME ou par les télétravailleurs, créant un point d'entrée vulnérable pour les réseaux d'entreprise.
- Diagnostic nécessaire : Les administrateurs systèmes doivent auditer le firmware de leurs points d'accès domestiques ou distants via des tests passifs et actifs.
- Mitigation : L'isolation des équipements non fiables derrière des pare-feu stricts et le remplacement par du matériel audité sont les seules solutions robustes.
La mécanique des backdoors dans le firmware
Contrairement aux vulnérabilités classiques (comme une faille d'injection SQL ou une débordement de tampon) qui sont des bugs non intentionnels, une backdoor est une fonctionnalité intentionnellement insérée dans le code. Dans le contexte des routeurs grand public chinois, cela se manifeste sous plusieurs formes techniques.
Endpoints administratifs cachés
Le firmware standard expose généralement une interface web sur les ports 80 et 443. Cependant, les analyses d'experts en sécurité ont mis en évidence des routes API supplémentaires, souvent sur des chemins non standard (ex : /debug, /admin_backdoor, /api/v1/system) ou sur des ports non documentés (comme 8080, 8443 ou même des ports haute fréquence).
Ces endpoints acceptent parfois des authentifications basiques simplifiées, ou pire, n'exigent aucune authentification pour exposer des informations critiques :
- Liste des interfaces réseau et adresses MAC connues.
- Table de routage complète.
- Accès shell via un interpréteur de commandes intégré (telnet ou ssh non chiffré).
# Exemple de test passif pour identifier des ports non standard ouverts
# Depuis une machine interne à la LAN du routeur suspect
nmap -sS -p- 192.168.1.1 -T4 --open -oN routeur_scan.txt
# Vérification des réponses HTTP sur des chemins suspects
curl -v http://192.168.1.1/debug
curl -v http://192.168.1.1/api/status
curl -v https://192.168.1.1:8443/admin
Certificats auto-signés et trafic chiffré
Un des vecteurs les plus insidieux est l'utilisation de certificats TLS auto-signés avec une validité très longue (parfois 10 ans ou plus) et des empreintes numériques non traçables. Si le routeur utilise ces certificats pour servir son interface d'administration, il peut :
- Ignorer les erreurs de validité du navigateur (l'utilisateur accepte le risque).
- Servir des pages de login modifiées pour capturer les identifiants (phishing local).
- Intercepter le trafic chiffré entre les appareils internes et Internet si le routeur agit comme un proxy man-in-the-middle (MITM), ce qui est techniquement possible si le firmware injecte ses propres races de confiance dans le système des clients (moins courant sur Windows/Mac, mais possible sur certains systèmes embarqués ou anciens).
Impact sur la sécurité des consultants IT
Pour un consultant en sécurité ou un administrateur système, la présence de ces équipements dans un environnement professionnel (bureau à domicile, annexe, TPE) représente un risque de conformité et de sécurité opérationnelle.
Exposition des identifiants et des sessions
Si un backdoor permet l'accès à la console de gestion, l'attaquant peut :
- Modifier les règles de pare-feu pour rediriger le trafic DNS vers des serveurs malveillants (hijacking DNS).
- Ouvrir des ports entrants sur le routeur, créant ainsi un tunnel direct vers le LAN interne.
- Accéder aux identifiants Wi-Fi stockés en clair ou faiblement chiffrés.
Risque de déni de service (DoS)
Même sans accès complet, une backdoor de type "kill switch" ou de surcharge CPU peut être activée à distance. Un routeur qui se fige ou qui renvoie des réponses ICMP erronées peut perturber l'activité des employés, masquer une exfiltration de données ou simplement rendre le service indisponible.
Diagnostic approfondi : que vérifier concrètement ?
En tant qu'expert, vous ne pouvez pas vous contenter de regarder l'interface web. Voici les étapes techniques pour auditer un routeur suspect.
1. Analyse du trafic de sortie
Utilisez un outil de capture réseau (Wireshark, tcpdump) sur une machine connectée au LAN du routeur, avant que celui-ci ne se connecte à Internet, ou en analysant le trafic sortant du routeur lui-même si vous avez accès à son WAN.
# Capture du trafic sortant du routeur (si possible depuis le switch amont)
# Ou analyse des requêtes DNS émises par le routeur
tshark -i eth0 -f "dns" -Y "dns.qname" -T fields -e dns.qname | sort | uniq -c | sort -nr
# Cherchez des domaines inconnus ou des requêtes vers des IP privées non autorisées
Si le routeur effectue des requêtes DNS vers des domaines inconnus (ex : update.xxx-firmware.com) qui ne correspondent pas au constructeur officiel, c'est un signal d'alarme majeur.
2. Vérification des certificats TLS
Examinez le certificat servi par l'interface d'administration.
# Affichage des détails du certificat sur le port 443
openssl s_client -connect 192.168.1.1:443 -showcerts 2>/dev/null | openssl x509 -noout -text
# Points de vigilance :
# - Issuer : Doit être le nom de la marque officielle.
# - Validity : Une durée de validité supérieure à 1-2 ans est suspecte pour du matériel grand public.
# - Serial Number : Vérifiez s'il est unique ou générique.
3. Recherche de processus et fichiers suspects
Si vous avez accès à un shell (via telnet/ssh compromis ou via une interface debug), inspectez le système de fichiers. La plupart de ces routeurs tournent sous Linux embarqué (OpenWRT modifié ou distributions propriétaires).
# Liste des processus en cours d'exécution
ps aux
# Recherche de scripts shell anormaux dans /etc, /tmp, /var
find /etc /tmp /var -name "*.sh" -exec grep -l "curl\|wget\|nc\|netcat" {} \;
# Vérification des entrées crontab
cat /etc/crontab
ls -la /var/spool/cron/
La présence de scripts utilisant curl ou wget pour envoyer des données vers des IP externes est une preuve quasi-certaine d'une backdoor d'exfiltration.
Bonnes pratiques pour consultants IT
Face à ce risque, voici les actions immédiates à recommander à vos clients ou à appliquer dans vos propres environnements de télétravail.
1. Segmentation stricte (VLAN)
Ne connectez jamais directement un routeur non audité au cœur de votre réseau d'entreprise.
- Placez ces équipements dans un VLAN isolé ("Guest" ou "IoT").
- Interdisez tout trafic inter-VLAN vers le segment des serveurs ou des postes de travail critiques.
- Utilisez des pare-feu (firewalls) pour filtrer le trafic sortant de ce VLAN : autorisez uniquement le trafic HTTP/HTTPS vers les domaines nécessaires au fonctionnement (mis à jour, etc.), et bloquez tout le reste.
2. Suppression des interfaces de gestion inutiles
Désactivez toutes les interfaces de gestion accessibles depuis le WAN.
- Désactivez le Telnet et le SSH non chiffré.
- Si le routeur supporte le WPA3, utilisez-le. Sinon, WPA2-AES strict.
- Désactivez les services UPnP, qui sont souvent utilisés par les malwares pour ouvrir des ports.
3. Audit des fournisseurs
Pour les projets professionnels, imposez une liste blanche de matériel.
- Privilégiez les constructeurs offrant une documentation technique complète, des signatures de firmware vérifiables et une politique de sécurité transparente (PSIRT).
- Évitez les marques "white label" inconnues qui changent de nom selon les marchés.
- Exigez des certificats de conformité (CE, FCC) et, idéalement, des audits tiers indépendants pour les déploiements critiques.
4. Surveillance comportementale (NIDS/NIPS)
Déployez des systèmes de détection d'intrusion réseau (comme Suricata ou Zeek) sur le segment où ces routeurs sont connectés.
- Alertez sur tout trafic DNS vers des domaines inconnus.
- Alertez sur les connexions sortantes vers des ports non standards (autres que 80, 443, 53).
- Alertez sur les tentatives de connexion entrantes vers les ports de gestion du routeur.
Points cles
Les routeurs grand public chinois ne sont pas intrinsèquement malveillants, mais leur niveau de sécurité, l'opacité de leur code et l'absence de processus d'audit rigoureux les rendent vulnérables à l'inclusion de backdoors, que ce soit par négligence du développeur ou par insertion intentionnelle.
Pour un consultant IT, la règle d'or est la méfiance par défaut. Un équipement réseau qui gère le trafic d'une entreprise ne doit pas être une boîte noire. Si vous ne pouvez pas auditer le firmware, ne l'intégrez pas à votre périmètre de confiance. La segmentation réseau et la surveillance comportementale sont vos meilleures lignes de défense. Enfin, éduquez vos clients : un routeur pas cher peut coûter très cher en temps de remise en état et en réputation si il devient le vecteur d'une cyberattaque.
Source : Generation-NT
