Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Scoperte due gravi backdoor nei router ZBT: SPEAKINGSTONE e DARKLANTERN consentono ad aggressori remoti di eseguire comandi con privilegi root senza autenticazione. Centinaia di dispositivi sono risultati raggiungibili e potenzialmente esposti al controllo remoto.
Gli esperti di VulnCheck hanno scoperto due impianti sconosciuti nei firmware dei router del produttore cinese Shenzhen Zhibotong Electronics (ZBT). Entrambi permettono a un aggressore remoto di connettersi al dispositivo senza autenticazione ed eseguire comandi con privilegi root.
La backdoor rilevata ha ricevuto il nome di SPEAKINGSTONE (CVE-2026-74232) e DARKLANTERN (CVE-2026-74233). Entrambi i bug di sicurezza sono valutati con severity 9,3 sulla scala CVSS 4.0 e 9,8 punti su CVSS 3.1, poiché per lo sfruttamento non sono necessarie privilegi o azioni da parte dell’utente.
I ricercatori scrivono che SPEAKINGSTONE funziona come servizio e il router stesso invia dati a un indirizzo di gestione codificato tramite la porta UDP 10000. Poiché la connessione è avviata dal dispositivo stesso, il meccanismo funziona anche dietro NAT e non richiede porte in entrata aperte.
La backdoor è in grado di eseguire comandi arbitrari con privilegi root, rubare login e password per PPPoE, modificare le registrazioni DNS e reindirizzare i dispositivi nella rete locale a server controllati dagli aggressori, nonché aprire un tunnel SSH inverso. “Questo è un impianto spia con accesso root a ogni dispositivo su cui viene eseguito”, scrivono allarmati i ricercatori.
Oltre all’indirizzo del server di gestione principale, nel codice SPEAKINGSTONE è presente anche un dominio di riserva, che si è rivelato non registrato. Gli esperti di VulnCheck lo hanno registrato e avviato un server con la propria implementazione del protocollo, dopo di che i router hanno iniziato a connettersi a esso quasi immediatamente.
Al 21 agosto 2026, 392 dispositivi unici si sono connessi al server, di cui 390 si trovavano in Cina. Gli esperti scrivono che l’83% di questi router utilizzava la rete China Mobile; 304 distribuivano Wi-Fi con SSID che iniziava con «CMCC»; e 363 dispositivi si sono identificati come modello L3_V2_8 con firmware 3.0.0.4.528.
Si sottolinea che il numero esatto di dispositivi interessati da questo problema è sconosciuto, poiché il dominio di riserva è stato contattato solo da quei router per i quali, per qualche motivo, non era stato impostato il server di gestione principale.
La seconda backdoor, DARKLANTERN, funziona come servizio infosrvd sulla porta UDP 9992, e il firewall di sistema del firmware consente connessioni in entrata a questa porta da Internet. Nel frattempo, si è scoperto che la protezione prevista in DARKLANTERN è in realtà inutile. Ad esempio, per eseguire un comando, il pacchetto deve contenere un token speciale e l’indirizzo MAC del router, ma il token viene calcolato utilizzando un valore fisso che è facile da estrarre dal firmware. Anche il controllo dell’indirizzo MAC può essere aggirato inviando al suo posto sei byte nulli. Di conseguenza, qualsiasi aggressore remoto può inviare comandi al router.
Dal 18 al 21 agosto, gli esperti hanno rilevato 203 istanze di DARKLANTERN accessibili tramite Internet in 22 paesi. Si sottolinea separatamente che in questo caso si tratta di 16 modelli di router che hanno risposto allo scanning, non di casi confermati della loro compromissione.
Il rilevamento di SPEAKINGSTONE e DARKLANTERN da parte dei rappresentanti del produttore non è stato ancora commentato.
Inoltre, l’azienda raccomanda ai proprietari dei dispositivi ZBT di bloccare tutte le connessioni in entrata sulla porta UDP 9992, monitorare le richieste all’infrastruttura di gestione SPEAKINGSTONE, nonché considerare la rete locale dei router non attendibile.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/