Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-74232CriticalCVSS: 9.3

CVE-2026-74232: Kritische C2-Backdoor in Zbtlink- und MoreQuick-Routern

In Routern von Zbtlink, MoreQuick sowie weiteren Marken ist eine Hintertür (SPEAKINGSTONE/yunmgrd) eingebaut, die unverschlüsselt mit einem fest verdrahteten C2-Server kommuniziert. Angreifer auf dem Netzwerkpfad können den Kanal übernehmen und beliebige Befehle als root ausführen. Auch DNS-Umleitung, Abgreifen von PPPoE-Zugangsdaten und Reverse-SSH-Tunnel sind möglich – ein Patch ist nicht verfügbar.

METADATEN

Entdeckt:
27.08.2026
Patch verfügbar:
Nein

BETROFFENE SYSTEME

  • •Zbtlink ZBT-ZBT7621 1.0.0.3.001
  • •Unknown MAP-N10 1.0.0.2.044
  • •MoreQuick MQAP-7620 1.0.0.2.000
  • •MoreQuick MQAP-7628 1.0.0.2.000
  • •MoreQuick MQAC-7620A 1.0.0.2.000
  • •Zbtlink WE826-T2 19.1101
  • •Zbtlink ZBT-7628 1.0.0.2.007
  • •MoreQuick MQAC-7620 1.0.0.2.000
  • •Unknown AP522 1.0.0.2.014
  • •MoreQuick MQAP-7620A 1.0.0.2.000
  • •Unknown APG721B 19.0809
  • •Unknown AP7628 3.0.0.4.380
  • •Unknown HC5661A 3.0.0.4.380
  • •Unknown HK300 1.0.0.2.032
  • •Zbtlink L3_V2_8 3.0.0.4.528

Zusammenfassung

CVE-2026-74232 betrifft Router-Firmware der Hersteller Zbtlink, MoreQuick sowie weitere unter Unbekannt geführte Marken. Die Geräte enthalten den Command-and-Control-Implant SPEAKINGSTONE (yunmgrd), der über einen unverschlüsselten, unauthentifizierten UDP-Kanal regelmäßig Kontakt zu einem fest verdrahteten C2-Server aufnimmt. Ein entfernter Angreifer auf dem Netzwerkpfad kann diesen Kanal übernehmen und beliebige Befehle mit root-Rechten ausführen. Zusätzlich lassen sich DNS-Einträge manipulieren, PPPoE-Zugangsdaten exfiltrieren und Reverse-SSH-Tunnel öffnen.

Der CVSS-Score liegt bei 9.3 (Critical). Die Schwachstelle ist im VulnCheck KEV (Known Exploited Vulnerabilities) gelistet. Für die betroffenen Modelle existiert nach aktueller Kenntnis kein Patch – die Hintertür ist fester Bestandteil der ausgelieferten Firmware.

Technische Details

Der Implant yunmgrd (SPEAKINGSTONE) läuft als Dienst und sendet an den C2-Server ac-link[.]com (Alibaba Cloud, Shenzhen) über UDP/10000 sogenannte Registrier-Beacons, die Modell, Firmware-Version, MAC-Adresse, SSID, LAN-IP und Uptime des Geräts enthalten. Die Kommunikation erfolgt im Klartext und ohne Authentifizierung. Ein als Backup festverdrahtetes Domänenobjekt (findmyipaddr[.]com), das zwischenzeitlich nicht registriert war, wurde von VulnCheck als Sinkhole übernommen; 392 Geräte meldeten sich dort – 390 davon in China.

Der unverschlüsselte C2-Kanal erlaubt (msgType-Funktionen):

  • cmdRun – Ausführung beliebiger Befehle als root
  • dnsSet/dnsGet – Manipulation der DNS-Auflösung (DNS-Hijacking)
  • pppoe – Exfiltration von PPPoE-Benutzername und -Passwort der WAN-Verbindung
  • onoff/sshport – Öffnen bzw. Verwalten eines Reverse-SSH-Tunnels
  • setBackup – Aktualisieren der Backup-C2-Server

Vergleichbare Probleme (CWE-506 „Embedded Malicious Code“, CWE-300 „Channel Accessible by Non-Endpoint“) gelten auch für die verwandte Hintertür DARKLANTERN (infosrvd), die per UDP/9992 von außen erreichbar ist.

Betroffene Systeme

Hersteller Modelle Firmware
Zbtlink L3_V2_8 3.0.0.4.528
Zbtlink WE826-T2 19.1101
Zbtlink ZBT-7628 1.0.0.2.007
Zbtlink ZBT-ZBT7621 1.0.0.3.001
MoreQuick MQAC-7620 1.0.0.2.000
MoreQuick MQAC-7620A 1.0.0.2.000
MoreQuick MQAP-7620 1.0.0.2.000
MoreQuick MQAP-7620A 1.0.0.2.000
MoreQuick MQAP-7628 1.0.0.2.000
Unbekannt AP522 1.0.0.2.014
Unbekannt AP7628 3.0.0.4.380
Unbekannt APG721B 19.0809
Unbekannt HC5661A 3.0.0.4.380
Unbekannt HK300 1.0.0.2.032
Unbekannt MAP-N10 1.0.0.2.044

Die Geräte werden teils unter Drittmarken (z. B. WiFlyer, CroSkylink, Deep Orange) vertrieben; auch Rebrands auf Basis der ZBT-Plattform könnten betroffen sein.

Empfehlungen und Maßnahmen

  • Kein Patch verfügbar: Da es sich um eine bewusst eingebaute Hintertür in der ausgelieferten Firmware handelt, gibt es nach aktuellem Stand keinen Sicherheits-Patch.
  • Geräte austauschen: Betroffene Router sollten aus Produktivnetzen entfernt und durch Geräte mit vertrauenswürdiger, wartbarer Firmware ersetzt werden. Prüfen Sie, ob vor dem Einsatz eine alternative Open-Source-Firmware (z. B. OpenWrt) verifiziert installiert werden kann.
  • Netzwerkzugriff unterbinden: Blockieren Sie ausgehende UDP-Verbindungen zu den C2-Infrastrukturen (Ports 10000 und 9992 bzw. die Domains ac-link.com und findmyipaddr.com).
  • Netzwerk überwachen: Achten Sie auf Beaconing-Flows zu den genannten Domains/IPs sowie auf ungewöhnliche reverse SSH-Tunnel.
  • Zugangsdaten rotieren lassen: Nach möglicher Kompromittierung PPPoE-Zugangsdaten ändern.
  • Lieferkettenrisiko beachten: Beim Kauf von Netzwerkhardware auf Herkunft und Firmware-Historie achten.

Quellen

REFERENZEN