הדומיין www.findmyipaddr.com לא היה שייך לאיש. הוא היה כתוב, מפוצל לשש חתיכות כדי שלא יצוץ בחיפוש טקסט פשוט, בתוך קובץ הרצה על ראוטר סלולרי שחוקרי אבטחה קנו באמזון ב-88 דולר. אז הם רשמו אותו על שמם, הקימו במקומו שרת, וחיכו לראות מי יתחבר. תוך ימים ספורים דיווחו אליו 392 ראוטרים. 390 מהם בסין. אחד מהם משדר בלי הפסקה כמעט שנתיים.

את הממצא פרסם ב-27 באוגוסט ג'ייקוב ביינס, חוקר ב-VulnCheck, בדוח שמתאר שני שתלים שהגיעו מותקנים מראש בקושחה של ראוטרים מתוצרת Shenzhen Zhibotong Electronics, יצרנית סינית שמוכרת תחת השם ZBT. שניהם מאפשרים לתוקף מרוחק הרצת קוד עם הרשאות root, בלי סיסמה ובלי אימות, ושניהם קיבלו ציון 9.8 בסולם CVSS 3.1: CVE-2026-74232 ו-CVE-2026-74233. בהמשך נעבור על מה שכל אחד מהם עושה, איך החוקרים הגיעו אליהם, ולמה השאלה המעניינת כאן היא לא איך מתקנים אלא מי שם את זה שם מלכתחילה.

מה בעצם קנו החוקרים ב-88 דולר

המכשיר נמכר תחת המותג Deep Orange, על ידי חברה קטנה בניו יורק. Deep Orange לא בנתה אותו. המדבקה בתחתית מזהה אותו כדגם WE826-T, אותו דגם שמופיע בהגשה של ZBT ל-FCC, וכתובת ה-MAC שלו נופלת בתוך הבלוק 78:A3:51 שהוקצה ל-ZBT. זה ראוטר ZBT עם שם אחר על הקופסה.

ZBT היא לא מותג צרכני. היא מייצרת חומרה שחברות אחרות מוכרות בשמן, וההגעה שלה רחבה: החוקרים עקבו אחרי הגשות ל-FCC, רישומי פטנטים ועמודי אינטרנט מארכיון, ומצאו את אותה פלטפורמה נמכרת בארצות הברית, קנדה, אוסטרליה, הפיליפינים, גרמניה ורוסיה. בין השמות שהיא לובשת בדרך: Lippert Components WiFi On-The-Go, סדרת MBR 500/550 של Wave WiFi, ה-RV WIFI Route של OneX האוסטרלית, וה-MOFI4500-4GXeLTE הקנדי.

מה שהפך דווקא את משפחת WE826 לנפוצה כל כך הוא החיבור הסלולרי. מכניסים כרטיס SIM והמכשיר מספק אינטרנט כמעט בכל מקום, או משמש כקו גיבוי שנכנס לפעולה כשהחיבור הראשי נופל. זה בדיוק מה שצריך בקופה רושמת, על שילוט חוצות, בקרון נגרר או לאורך קו צינור. זול, קטן ועובד. ומי שקונה אותו בדרך כלל לא יודע מי ייצר אותו.

החוקרים ניצלו חולשה בממשק ה-telnet של המכשיר, קיבלו root, וגילו שהקושחה נבנתה ב-2019. שם, בין השירותים שרצים ברקע, ישבו שני דברים שלא היו אמורים לשבת שם. שניהם כתובים ב-Nim, שניהם מדברים UDP, ושניהם מופעלים על ידי אותו בינארי: שירות שתפקידו הרשמי הוא לוודא שיש חיבור לאינטרנט.

הדלת שפתוחה מבחוץ

הראשון מבין השניים לא טורח להסתתר. הוא שירות בשם infosrvd שמאזין על פורט UDP 9992, וחומת האש המובנית של הראוטר מתירה אליו במפורש תנועה נכנסת מכל מקום באינטרנט. זה לא מצב שנוצר בטעות, ככה זה הוגדר. החוקרים קראו לו DARKLANTERN.

הפרוטוקול שהוא מדבר, שבבינארי עצמו נקרא revProto, אינו מוצפן ואינו מאומת, ויש בו שני סוגי חבילות. הראשונה היא שאילתת מידע קצרה של 19 בתים, שבתגובה אליה המכשיר מחזיר את הדגם שלו, גרסת הקושחה, כתובת ה-MAC, זמן הפעילות, שם הרשת האלחוטית וכתובת ה-IP הציבורית. הכול בטקסט גלוי, בלי שאלה אחת מי בכלל שואל.

החבילה השנייה היא פקודה. המטען שבתוכה מועבר ישירות לקריאת system של מערכת ההפעלה, מודבק אחרי נתיב קבוע, בלי הגבלת אורך ובלי סינון תווים. תו אחד במקום הנכון מספיק כדי לצאת מהנתיב הקבוע ולהריץ מה שרוצים, בהרשאות root.

שני שדות אמורים לחסום את זה, ושניהם נשברים בלי מאמץ. הראשון הוא token: סכום ביקורת קצר שמחושב מהמטען יחד עם מפתח קבוע שכתוב בתוך הבינארי ולא ניתן לשינוי, כך שמי שקרא את הקוד יכול לחשב token תקין לכל מטען שיבחר. השני הוא סינון לפי כתובת MAC, שבו השירות משווה שדה בחבילה לכתובת ה-MAC של המכשיר עצמו וזורק כל חבילה שלא מתאימה. אלא שבקוד יושב מעקף מובנה: אם השדה מלא באפסים, הבדיקה עוברת.

זה לא באג בבדיקה. זו בדיקה שנכתבה מראש עם דלת צדדית.

בסריקות שהריצו בין 18 ל-21 באוגוסט 2026 איתרו החוקרים 203 מכשירים חשופים לאינטרנט שעונים ל-DARKLANTERN, ב-22 מדינות, שדיווחו על עצמם 16 דגמים שונים. הקושחה שנבדקה היא מ-2019, ולכן, לדבריהם, סביר שמדובר בזנב של הפצה גדולה הרבה יותר.

אז למה שתל שמתקשר החוצה עדיף?

עד כאן הצד הפשוט. השתל השני, SPEAKINGSTONE, בנוי אחרת לגמרי, והוא גם המסוכן מבין השניים.

הוא לא מאזין, הוא מתקשר. שירות בשם yunmgrd יוצא כל פרק זמן קבוע אל שרת שליטה ובקרה (C2, השרת שממנו התוקף שולח פקודות לתוכנה שהושתלה), על פורט UDP 10000. ההבדל הזה הוא כל העניין. שתל שמאזין תלוי בכך שהראוטר יהיה נגיש ישירות מהאינטרנט, ומספיק לשים אותו מאחורי NAT או מאחורי שער ארגוני כדי לנטרל אותו. שתל שמתקשר החוצה לא מתעניין בזה: התנועה שלו נראית כמו כל תנועה יוצאת אחרת, והיא עובדת גם מרשת פרטית וגם מאחורי NAT של ספק סלולרי.

השרת שהוגדר במכשיר שנבדק הוא ac-link.com, שמצביע על כתובת ב-Alibaba Cloud בשנז'ן. זה הדומיין של ZBT עצמה, ואותו דומיין הופיע גם במחקר הקודם של VulnCheck על שתל שלישי באותם ראוטרים, ENDLESSDOORS.

ההודעה הראשונה שנשלחת החוצה היא טביעת אצבע מלאה של המכשיר: דגם, גרסת קושחה, MAC, שם הרשת האלחוטית, כתובת פנימית וזמן פעילות. בתשובה לה יכול השרת לשלוח פקודות, והרשימה מדברת בעד עצמה. הרצת פקודות שרירותיות. חילוץ שם המשתמש והסיסמה של חיבור ה-PPPoE מול ספק האינטרנט, כלומר פרטי האימות שבהם הראוטר מזדהה מול הספק. כתיבת רשימת שרתי DNS חלופיים והפעלתה, מה שמפנה כל מכשיר ברשת הביתית לשרתים שהתוקף בחר. ופתיחת מנהרת SSH הפוכה, שדרכה אפשר להתחבר למכשיר ישירות.

התעבורה היוצאת במכשיר שנבדק מעורפלת ב-XOR עם בית קבוע אחד, מה שלא מוסיף הגנה של ממש. הפקודות הנכנסות מהשרת מגיעות תמיד בטקסט גלוי, בלי חתימה ובלי אימות. המשמעות המעשית: למכשיר אין שום דרך לוודא שהוא מדבר עם השרת הנכון, וכל מי שיושב על נתיב התקשורת יכול להשתלט על השתל.

הדומיין שאף אחד לא רשם

וכאן נכנס לתמונה הפרט שהפך את המחקר מניתוח קושחה לתמונת מצב. אם לא הוגדר שרת ראשי, השתל פונה לדומיין גיבוי שכתוב קשיח בבינארי. זה לא מנגנון גיבוי במובן הרגיל: אם השרת הראשי מוגדר ופשוט לא זמין, השתל ממתין ולא עובר לחלופה. כל מכשיר שפונה לדומיין הגיבוי הוא מכשיר שמעולם לא הוגדר לו שרת ראשי.

הדומיין הזה לא היה רשום על שם איש. VulnCheck רשמה אותו, הקימה שרת עם מימוש משלה של הפרוטוקול, וקיבלה לידיה את כל המכשירים האלה. עד 21 באוגוסט 2026 דיווחו אליו 392 מכשירים ייחודיים. 390 מהם בסין, 83 אחוז מהם על הרשת של China Mobile, 304 מהם משדרים שם רשת אלחוטית שמתחיל ב-CMCC, המותג הצרכני של אותה חברה, ו-363 מתוך 392 הם דגם אחד בדיוק, L3_V2_8, עם אותה גרסת קושחה. זה לא ראוטר שקונים מהמדף. זה נראה כמו ציוד שספק סלולרי מחלק ללקוחות שלו.

המכשיר הוותיק בקבוצה משדר ברציפות כמעט שנתיים. והשרת הראשי, ac-link.com, עדיין חי. כמה מכשירים מדווחים אליו, איש מבחוץ לא יודע.

מה אומרת ZBT, ומה אומרים החוקרים

בתגובה למחקר הקודם על ENDLESSDOORS מסרה ZBT שהשתל הוא כלי תמיכה טכנית לאחר מכירה, כזה שדורש אישור מפורש של הלקוח. החוקרים מציינים שלא מצאו במכשיר שום מנגנון שמבקש אישור כזה או בודק אותו.

לגבי SPEAKINGSTONE הם חדים יותר. כלי ניהול בענן, הם כותבים, לא גונב את פרטי האימות מול ספק האינטרנט ולא מפנה את ה-DNS של הרשת. "ZBT לא יכולה לדעת אם נעשה בשתלים האלה שימוש לגישה בלתי מורשית, כי הגישה אליהם אינה בשליטתה", כתבו ב-VulnCheck.

מה שכן, בנוגע לשאר המותגים החוקרים דווקא נזהרים. הם מדגישים שלא כל מכשיר שיצא מקווי הייצור של ZBT נושא את השתלים האלה. את הקושחה של MOFI הקנדית, למשל, הם בדקו ולא מצאו בה שתל, מפני שהחברה מפתחת קושחה משלה. הטענה שלהם ממוקדת יותר: שלוש משפחות שתלים על פני כמה דורות קושחה, עם מפתח קבוע בקוד שקושר את הפיתוח ל-MoreQuick, יצרנית ה-OEM הסינית שכתבה את הקושחה למכשיר שנבדק. לדעתם זו ארכיטקטורה, לא תקלה.

מה זה אומר בפועל

ל-203 המכשירים החשופים אין תיקון שממתין להתקנה. אלה לא חולשות שנסגרות בעדכון קושחה מהיצרן, כי היצרן הוא שכתב את הקוד. החוקרים מציינים שהם רואים מכשירים כאלה גם בישראל, לצד אוקראינה, טורקיה, הונג קונג וטייוואן.

אם יש אצלכם ראוטר סלולרי זול שנקנה אונליין, במיוחד כזה שמשמש כקו גיבוי בעסק, בקופה או ברכב, שווה לברר שני דברים: מי היצרן האמיתי מאחורי המותג שעל הקופסה, והאם פורט UDP 9992 נגיש אליו מבחוץ. VulnCheck פרסמה חתימות זיהוי לרשת ולקבצים, לצד דפי התראה נפרדים ל-DARKLANTERN ול-SPEAKINGSTONE. מכשיר שמתאים לרשימת הדגמים ומחובר ישירות לאינטרנט הוא לא משהו שממתינים איתו לעדכון הבא.