Backdoor-ul a venit în cutie

Pe 5 august 2026, VulnCheck a publicat o analiză pornită de la un router aflat pe biroul unui cercetător din Philadelphia. Dispozitivul nu fusese compromis. A venit din fabrică sunând deja către un server de comandă și control, în așteptarea instrucțiunilor. Implantul, numit ENDLESSDOORS și înregistrat ca CVE-2026-66747 cu scor CVSS 9.3, era prezent în toate cele 21 de imagini de firmware publicate atunci pe pagina de download a producătorului, acoperind aproximativ doi ani de versiuni pe circa 20 de modele.

Producătorul este Zbtlink, marcă a Shenzhen Zhibotong Electronics, care fabrică routere celulare și echipamente CPE și le livrează sub marcă albă către revânzători. Același dispozitiv apare sub numele Wiflyer și prin aranjamente OEM și ODM cu oricine vrea să-și pună propriul logo pe carcasă. Zbtlink a declarat presei că funcționalitatea era destinată mentenanței post-vânzare, a negat că ar fi vorba de un backdoor, a suspendat descărcările de firmware și a oprit vânzarea modelelor afectate. La data publicării acestui articol nu există firmware corectat.

Pentru oricine cumpără echipamente de rețea prin procedură de achiziție, aceasta este categoria incomodă de problemă. Nu ai ce să patch-uiești.

Ce este, concret, ENDLESSDOORS

Implantul este o versiune personalizată a rctl, un utilitar mic de control remote urcat pe GitHub în ianuarie 2015 și nemodificat de atunci. Vine ca pachet OpenWrt, /usr/lib/librctl.so, pornit la boot de un script init numit skworker, și rulează ca proces în userland cu numele kworker — denumit intenționat ca să se piardă între thread-urile de kernel [kworker/*] care umplu o listare normală de procese.

Protocolul nu are handshake, schimb de chei sau criptare. La conectare, implantul trimite un hello fix de 39 de octeți — o etichetă de clasă și adresa MAC din LAN — iar tot ce trimite serverul după aceea ajunge în popen() și se execută cu uid 0. Un singur șir rezervat, rctlbash, deschide o a doua conexiune pe portul 7001 și face bridge la /bin/sh printr-un pseudo-terminal. Adică un shell root interactiv.

Pentru că dispozitivul iese singur spre exterior, nu există port în ascultare de găsit și nici regulă de firewall de intrare de trecut. Proof of concept-ul VulnCheck a constat, practic, în a răspunde la telefon: au ridicat un server rctl, au așteptat check-in-ul routerului — intervalul raportat este de aproximativ 35 de secunde — și au cerut shell. Un echipament aflat în spatele a trei niveluri de NAT într-un punct de lucru este la fel de accesibil ca unul cu IP public, atât timp cât poate ieși către unul din cele patru endpoint-uri C2. „Este în spatele NAT-ului" nu este un control de securitate aici, iar nici schimbarea parolei, nici resetul la setările din fabrică nu restabilesc încrederea în dispozitiv.

Legislația din România acoperă situația, dar îngust

România are deja un regim de autorizare a producătorilor. Legea nr. 163/2021 condiționează utilizarea de tehnologii, echipamente și programe software în infrastructurile informatice și de comunicații de interes național, precum și în rețelele 5G, de obținerea unei autorizări de către producători, acordată prin decizie a prim-ministrului pe baza avizului conform al CSAT, în termen de 4 luni de la solicitare. Echipamentele producătorilor neautorizați au avut o perioadă de tranziție de 7 ani de la 11 iunie 2021, redusă la 5 ani pentru elementele din nucleul rețelei — termen care a expirat în iunie 2026. ANCOM constată contravențiile, iar amenzile sunt între 1% și 5% din cifra de afaceri.

Articolul 11 este punctul de legătură cu achizițiile publice și merită citit exact. Autoritățile contractante din sistemul național de apărare, ordine publică și securitate națională au dreptul de a solicita prin documentația de atribuire ca producătorul să fie autorizat potrivit art. 3, atunci când contractul are ca obiect și furnizarea de echipamente destinate infrastructurilor informatice și de comunicații de interes național. Dacă uzează de acest drept, au obligația de a exclude din procedură operatorul economic care furnizează produse de la un producător neautorizat.

Un drept, nu o obligație. Limitat la o singură categorie de autorități contractante. Legat de infrastructurile de interes național. Un spital județean care cumpără douăsprezece routere celulare pentru cabinetele din teritoriu, o primărie care echipează puncte de lucru, un operator de utilități care dotează o stație de pompare — nimic din toate acestea nu intră în sfera art. 11, iar în practică licitația se decide pe debit, număr de porturi, garanție și preț.

Ce așteaptă NIS 2 de la cumpărător

Articolul 21 alin. (2) lit. d) din NIS 2 obligă entitățile esențiale și importante să gestioneze securitatea lanțului de aprovizionare, inclusiv securitatea relațiilor cu furnizorii direcți și vulnerabilitățile specifice fiecărui furnizor. Articolul 24 permite statelor membre să impună utilizarea de produse TIC certificate în cadrul schemelor europene de certificare de securitate cibernetică, ca dovadă a conformării cu art. 21.

În România, NIS 2 a fost transpusă prin OUG nr. 155/2024, consolidată prin Legea nr. 124/2025, cu Ordinele DNSC nr. 1/2025 și nr. 2/2025 ca framework operațional. Punctul relevant pentru achiziții este că obligația este a cumpărătorului. Când un producător livrează un implant root pe parcursul a doi ani de versiuni, autoritatea de reglementare nu cere producătorului evaluarea de risc — o cere entității care a instalat dispozitivul în rețeaua sa.

Separat, din 11 septembrie 2026, Cyber Resilience Act obligă producătorii de produse cu elemente digitale puse pe piața UE să raporteze vulnerabilitățile exploatate activ către ENISA și către CSIRT-ul național: avertizare timpurie în 24 de ore, notificare tehnică în 72 de ore, raport final în 14 zile. Art. 69 alin. (3) extinde această obligație și la produsele puse pe piață înainte de intrarea în vigoare a obligațiilor complete ale CRA, pe 11 decembrie 2027. Asta îți dă ceva concret de cerut, pentru că un furnizor care nu-ți poate descrie propriul proces de raportare îți transmite o informație utilă.

Clauzele de adăugat în documentația de atribuire

Niciuna dintre cele de mai jos nu presupune o modificare legislativă. Sunt cerințe tehnice și contractuale obișnuite.

• Numește producătorul real, nu marca. Cere ofertantului să declare entitatea producătoare, fabrica de origine și orice relație OEM sau ODM. Verificarea se face pe numărul de model — un dispozitiv rebranduit cu alt logo este același dispozitiv.
• Proveniența și integritatea firmware-ului. Cere un hash SHA-256 publicat pentru fiecare imagine de firmware, cere ca imaginea livrată să îi corespundă și verifică efectiv hash-ul la recepție, în loc să te bazezi pe avizul de însoțire.
• O declarație scrisă privind managementul remote și conexiunile de ieșire. Fiecare host, domeniu, IP și port pe care dispozitivul îl contactează din proprie inițiativă, plus o afirmație explicită că nu există canal de suport remote nedocumentat. Explicația Zbtlink — că implantul servea mentenanței post-vânzare — ar fi picat această clauză la semnare.
• O fereastră definită de suport de securitate. O dată de încetare a suportului, un SLA de patch pentru vulnerabilitățile critice și o obligație de notificare direct către tine, aliniată la termenele CRA de 24 de ore, 72 de ore și 14 zile.
• Un remediu pentru situația în care nu există patch. Înlocuire sau răscumpărare pe cheltuiala furnizorului, atunci când un defect nu poate fi corectat în firmware. Este exact clauza pe care proprietarii echipamentelor ENDLESSDOORS nu o au.
• Dreptul la analiză independentă de firmware și de audit, pe o unitate-eșantion înainte de recepție și pe durata contractului.
• Certificare acolo unde există o schemă. Schemele europene de la art. 24 din NIS 2 nu acoperă toate categoriile de produse, deci tratează cerința drept criteriu de preferință, nu filtru eliminatoriu, și spune asta explicit în grila de evaluare.
• Un drept de excludere construit după modelul art. 11. O autoritate contractantă din afara sistemului de apărare și securitate națională poate introduce o cerință echivalentă în propria documentație de atribuire, atât timp cât este proporțională cu obiectul contractului și anunțată din start.

Ce verifici la recepție și pe echipamentele deja instalate

Recepția unui echipament de rețea confirmă, de regulă, că routează pachete. Verificările de mai jos durează câteva minute pe unitate și ar fi prins acest caz.

1. Inventariază pe numărul de model, în evidențele de achiziție, la punctele de lucru și locațiile remote, în flotele de vehicule și în tot ce a instalat un contractor. Caută Zbtlink, ZBT, ZBTWiFi, Wiflyer și echipamente CPE celulare fără marcă, cu proveniență neclară.
2. Citește lista de procese. Un kworker fără paranteze drepte și cu VSZ nenul este implantul. Vor fi două astfel de procese.
3. Verifică sistemul de fișiere: /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg, /etc/init.d/skworker.
4. Capturează traficul de ieșire zece minute, pe un segment izolat. Orice dispozitiv care contactează un host pe care nimeni nu-l poate explica nu trece recepția. Pune alerte pe trafic outbound 7000 și 7001 din segmentele de infrastructură și pe domeniile C2 publicate, la nivelul resolverului DNS — alertă, nu doar blocare, pentru că o interogare blocată rămâne dovada existenței unui implant.

Pentru echipamentele deja în producție, un test de penetrare intern este locul unde asta se confirmă, nu se presupune. Echipamentele de rețea sunt frecvent excluse din scopul testelor interne, pe motivul că sunt infrastructură, nu sisteme, iar exact această excludere permite unui router cu implant root să treacă trei cicluri de audit. În mediile industriale și de utilități, aceeași logică se aplică la testarea OT și ICS, unde echipamentele CPE celulare și routerele din locațiile remote sunt adesea singura cale între rețeaua de control și internet.

Partea de guvernanță aparține framework-ului de audit și conformitate: cine aprobă un furnizor, ce cere documentația de atribuire și dacă procesul-verbal de recepție arată că s-a uitat cineva. Checklistul NIS 2 și DORA este un punct de plecare pentru secțiunea de lanț de aprovizionare.

Trei lucruri de făcut în acest trimestru

• Scoate evidențele de achiziție pentru echipamentele de rețea cumpărate în ultimii trei ani și listează producătorii, nu revânzătorii. Dacă nu poți numi fabrica din spatele unui dispozitiv, acesta este findingul.
• Adaugă cele patru verificări de mai sus în procedura de recepție și consemnează rezultatul. Un proces-verbal de recepție care conține un hash de firmware este o dovadă; un aviz de însoțire a mărfii nu este.
• Introdu clauzele de mai sus în următoarea procedură de achiziție pentru echipamente de rețea și stabilește formularea împreună cu achizițiile, juridicul și securitatea înainte de publicarea anunțului, nu în timpul evaluării.

Implantul din acest caz a fost documentat public și atribuit propriului proces de build al producătorului, ceea ce este neobișnuit. Ce dezvăluie nu este: un proces de achiziție care evaluează preț și debit, o recepție care confirmă că dispozitivul funcționează și niciun moment în care cineva să întrebe ce face dispozitivul când nu se uită nimeni.

Acest articol are caracter informativ general și nu constituie consultanță juridică sau de reglementare. Pentru modul în care NIS 2, Legea nr. 163/2021 sau legislația achizițiilor publice se aplică organizației și contractelor tale, consultă cadrul legal aplicabil și consilierul juridic.

Notă privind sursele: constatările tehnice și indicatorii provin din cercetarea proprie VulnCheck, pe unități achiziționate și testate de ei. Cifrele privind numărul de dispozitive afectate, apărute în presă, și declarațiile producătorului despre intenție provin din relatări de presă și nu au fost verificate independent de noi.

Surse: VulnCheck — ENDLESSDOORS Is Phoning Home. Pick Up.; Aviz VulnCheck — ENDLESSDOORS; NVD — CVE-2026-66747; Reuters — Zbtlink suspendă vânzarea routerelor cu backdoor; Legea nr. 163/2021 — Portal Legislativ; Directiva NIS 2 (UE) 2022/2555; Comisia Europeană — obligațiile de raportare din Cyber Resilience Act; DNSC.