중국 네트워크 장비 제조사 Zbtlink와 Wiflyer 브랜드로 유통된 다수 유무선 라우터에서 출고 단계부터 원격 제어 기능이 포함된 백도어가 탑재됐다는 분석 결과가 공개됐다. 연구진은 해당 기능이 해킹으로 삽입된 악성코드가 아니라 제조사가 제공한 펌웨어에 기본 포함된 구성 요소라고 주장하며, 영향을 받는 제품은 교체를 권고했다.
보안업체 VulnCheck는 문제의 백도어를 'ENDLESSDOORS'라고 명명했다.
연구진이 분석한 AX3000 Dual SIM 5G WiFi 6 라우터는 전원이 켜진 직후 외부 명령제어(C2) 서버와 지속적으로 통신을 시도했다. 이는 감염 이후 발생한 행위가 아니라 출고된 펌웨어의 기본 동작으로 확인됐다고 설명했다.
가장 눈에 띄는 부분은 프로세스 위장 방식이다. 라우터에는 'kworker'라는 이름의 프로세스가 실행되는데, 일반적인 리눅스 커널 스레드처럼 보이도록 이름을 위장하고 있다. 그러나 실제로는 루트(root) 권한으로 동작하는 사용자 영역(Userland) 프로그램이며, 연구진은 이를 ENDLESSDOORS의 핵심 구성 요소라고 분석했다.
분석 결과 해당 프로그램은 2015년 공개된 원격 제어 도구 'rctl(Remote Control Linux)'를 기반으로 수정한 것.
라우터는 지정된 도메인과 IP 주소로 연결을 시도하며, 서버와 연결되면 MAC 주소 등 장치 정보를 전송한다. 이후 서버가 전달하는 명령을 `popen()`을 통해 그대로 실행하며, 특정 명령을 받으면 루트 권한의 인터랙티브 셸까지 생성할 수 있는 것으로 나타났다. 연구진은 인증 절차나 서버 검증 과정이 존재하지 않는다고 설명했다.
특징은 외부에서 라우터를 직접 공격할 필요가 없다는 점이다.
라우터가 먼저 외부 C2 서버로 접속하기 때문에 NAT나 방화벽 뒤에 설치된 환경에서도 동일한 방식으로 제어가 가능하다. 연구진은 자체적으로 개발한 도구를 이용해 C2 서버를 가장한 뒤 실제 AX3000 장비에서 루트 셸을 획득하는 데 성공했다고 밝혔다. 취약점에는 CVE-2026-66747이 부여됐다.
문제의 단말기는 전 세계로 유통되어 쓰이고 있다. 파악된 수량만 약 10만 대.
연구진은 Zbtlink 공식 다운로드 페이지에서 제공되는 약 20여 개 펌웨어 이미지를 분석한 결과 모두 동일한 ENDLESSDOORS 구성 요소를 포함하고 있었다고 밝혔다. 영향을 받는 모델에는 CPE2801, WE1326, WG3526, Z8102AX-2DSIM 등 총 20종 이상이 포함된다. 또한 동일한 하드웨어와 펌웨어를 ODM·OEM 방식으로 판매하고 있어 Zbtlink 외 다른 브랜드로 판매된 제품도 영향을 받을 가능성이 있다고 경고했다.
또한, 일반적인 책임 있는 공개(Coordinated Disclosure)는 제조사가 의도하지 않은 결함을 수정할 시간을 주기 위한 절차지만, 이번 사례는 제조사가 부팅 시 자동 실행되도록 포함한 구성 요소이기 때문에 단순 취약점이 아니라 제조사가 고의로 설계한 취약점이기에 장치 신뢰성(Device Trust)의 문제라고 판단했다고 설명했다.
아울러, 현재까지 수정된 펌웨어는 존재하지 않는다고 밝혔다.
대응 방안으로는 모델 번호 기준 자산 식별, SSH 접속 후 `kworker` 프로세스 확인, `/usr/sbin/kworker`, `/usr/lib/librctl.so`, `/etc/kworker.cfg`, `/etc/init.d/skworker` 파일 존재 여부 확인, C2 도메인 및 IP 차단, TCP 7000·7001 포트 모니터링 등을 권고했다. 또한 실제 운영망에서는 해당 장비를 교체하거나 최소한 엄격한 네트워크 분리와 송신 통신 제어를 적용해야 한다고 조언했다.
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.