Backdoor di Firmware Router ZBT: Masalah Bukan Sekadar Bug
Backdoor router firmware adalah perangkat lunak tersembunyi yang sengaja disertakan dalam sistem operasi router untuk menyediakan akses kendali jarak jauh, sering kali dengan hak root dan tanpa autentikasi memadai, sehingga membuka peluang penyalahgunaan serius terhadap keamanan pengguna dan jaringan yang bergantung pada perangkat tersebut. Temuan tiga implant bernama ENDLESSDOORS, DARKLANTERN, dan SPEAKINGSTONE di firmware router ZBT menunjukkan bahwa keamanan router ZBT bukan soal satu celah teknis, melainkan desain sistem yang memberi akses root jarak jauh kepada pihak tak dikenal. Ini bukan sekadar kerentanan; ini adalah arsitektur pengawasan yang tertanam di jantung perangkat. Selama produsen menanam mekanisme seperti ini, setiap klaim keamanan terasa kosong. Menyebutnya “dukungan teknis purna jual” tidak mengubah fakta bahwa pengguna kehilangan kendali atas perangkat di jaringan mereka.
ENDLESSDOORS: "Dukungan Teknis" yang Setara dengan Remote Root
Implant ENDLESSDOORS adalah contoh teladan bagaimana mekanisme dukungan bisa berubah menjadi pintu belakang permanen. Riset menemukan backdoor ini tertanam langsung dalam firmware sejumlah router ZBT dan aktif sejak proses booting, menyamar sebagai proses kernel Linux bernama kworker. ENDLESSDOORS otomatis menghubungi server command-and-control dan dapat mengeksekusi perintah arbitrer sebagai root, menjadikannya sistem kendali jarak jauh yang tertanam langsung di perangkat. Tidak ada autentikasi bermakna, tidak ada enkripsi layak; router berkala mengumumkan dirinya ke server yang di-hard-code. Peneliti menunjukkan mereka dapat menyamar sebagai server perintah dan mengambil alih router uji, menegaskan bahwa ini bukan ancaman teoretis. Ancaman ini telah diberi kode CVE-2026-66747 dengan skor CVSS 9,3, angka yang menandakan dampak kritis dan nyaris tak bisa diterima di perangkat yang menjadi tulang punggung koneksi rumah maupun bisnis.
DARKLANTERN dan SPEAKINGSTONE: Senjata Lengkap untuk Akses Root Jarak Jauh
Ketika firmware lebih lama tidak memuat ENDLESSDOORS, masalahnya bukan selesai; ia digantikan oleh DARKLANTERN dan SPEAKINGSTONE. DARKLANTERN berjalan sebagai layanan infosrvd, membuka listener di WAN melalui UDP port 9992 dan menerima perintah langsung dari internet tanpa autentikasi. Penyerang cukup mengirim probe info 19-byte untuk memaksa router mengungkap identitas perangkat, lalu memalsukan paket agar dapat mengeksekusi perintah arbitrer sebagai root. Salt checksum yang di-hard-code dan filter MAC yang bisa diakali membuat keamanan seolah hanya dekorasi. Pemindaian internet menemukan 203 instance DARKLANTERN terekspos di 22 negara pada 16 model router, bukti bahwa ini sudah aktif di lapangan. SPEAKINGSTONE lebih mengkhawatirkan: layanan yunmgrd yang rutin mengirim beacon outbound ke infrastruktur command-and-control ZBT melalui UDP port 10000 dan protokol “zbtProtocol” untuk mengirim sidik jari lengkap perangkat. Dengan kemampuan eksekusi perintah, pencurian kredensial PPPoE WAN, pengubahan daftar hijack DNS, hingga pembuatan tunnel SSH terbalik, SPEAKINGSTONE menjadikan router sebagai alat pengawasan dan pivot serangan yang sangat fleksibel.
Perangkat Rebranded: Ancaman Tersembunyi di Balik Label Putih
Masalah terbesar bukan hanya keamanan router ZBT, melainkan fakta bahwa perangkat rebranded rentan terhadap ancaman yang sama. Peneliti membeli sebuah router seluler bermerek lain dan menemukan bahwa perangkat tersebut sebenarnya adalah ZBT-WE826-T2 dengan label putih, dengan firmware yang memuat DARKLANTERN dan SPEAKINGSTONE. Hardware ZBT dijual di bawah berbagai merek independen di seluruh dunia, termasuk produsen untuk pasar rumahan dan profesional. Platform yang sama muncul lagi dengan nama seperti WiFlyer, Deep Orange, Cioswi, CroSkylink, dan KuWFi. Akibatnya, banyak pengguna tidak sadar bahwa router di rumah, kantor, atau kendaraan mereka berbagi firmware dengan ekosistem ZBT yang telah ditanam backdoor. Menurut laporan, sebagian distribusi bahkan tampak seperti penyebaran operator skala besar ketimbang infeksi acak konsumen, dan digambarkan sebagai bentuk “teknologi pengawasan domestik China”. Ketika rantai pasokan perangkat jaringan kabur seperti ini, kepercayaan buta pada merek di etalase menjadi keputusan berisiko.
Apa yang Harus Dilakukan Pengguna Router ZBT dan Perangkat Rebranded
Dengan tiga backdoor aktif dan memberi akses root jarak jauh tanpa autentikasi, sikap pasif bukan pilihan. Bagi pemilik perangkat yang terdampak, satu-satunya solusi nyata adalah menggantinya, karena lubang keamanan terpasang sejak pabrik; memasang versi firmware berbeda tidak akan memulihkan kepercayaan. Bagi konsumen, langkah paling aman adalah memeriksa daftar perangkat yang terpengaruh di blog peneliti dan segera mengganti router yang teridentifikasi. Secara praktis, pengguna perlu: memeriksa model fisik router dan mencari apakah ia berbasis platform ZBT atau merek yang diketahui berbagi hardware; meninjau versi firmware dan rilis catatan keamanan dari produsen; serta menonaktifkan atau memisahkan router yang dicurigai dari jaringan sensitif sampai ada kepastian. Ancaman backdoor router firmware ini adalah pengingat keras bahwa perangkat jaringan bukan sekadar kotak plastik murah; ia adalah titik masuk utama ke seluruh kehidupan digital.
