중국 ZBT 라우터에 루트 백도어 심어 전 세계 판매

중국 ZBT 화이트라벨 라우터에 루트 백도어 상시 탑재 의혹

• 선전 즈보통 일렉트로닉스(ZBT)가 화이트라벨 방식으로 라우터를 공급하며, 최신 펌웨어에 루트 권한 백도어를 심은 사실이 VulnCheck 최고기술책임자 제이컵 베인스에 의해 8월 6일 공개되었다.
• ZBT 라우터에는 오픈소스 리눅스 원격제어 도구 ‘EndlessDoors’가 커널 스레드로 위장해 내장되었고, 전원이 켜지면 외부 도메인으로 먼저 접속해 C2를 구성해 사용자의 인터넷 활동 감시와 자격증명 탈취가 가능하도록 설계되었다.
• 베인스는 Zbtlink 브랜드 라우터에서 EndlessDoors를 발견한 뒤, 아마존에서 DeepOrange 브랜드 제품을 추가 분석해 SpeakingStone, DarkLantern 등 과거 버전의 백도어가 2019년 전후 ZBT 펌웨어에 계보 형태로 탑재돼 왔음을 확인했다고 밝혔다.
• ZBT는 알리바바에서 연간 3.57백만대 생산을 표기한 15년 경력 제조사로, 필리핀·인도·캐나다·독일·러시아·미국 등 50여 국가에 수출하며, VulnCheck는 3일간 DarkLantern 203건, SpeakingStone 392건 이상 노출을 관찰해 감염 범위를 추정했다.
• ZBT는 아마존와 자사몰 판매 중단과 펌웨어 수정 발표 후 다시 판매를 재개했으나, WiFlyer 브랜드 장비에서 여전히 미패치 EndlessDoors가 확인되었고, 4G·5G 내장 특성상 원격 파이프라인 등 물리 인프라 현장 교체가 어렵다는 점이 추가 위험요인으로 지적된다.
• 화이트라벨 네트워크 장비가 아마존·알리바바를 통해 미국·러시아·대만·중국·우크라이나·이스라엘 등으로 광범위 유통된 사례로, 한국도 조달·수입 장비의 MAC 주소·펌웨어 출처를 검증해 숨은 백도어를 선제 점검하고, 국산·검증 장비로의 단계적 전환 전략을 서둘러야 한다.

화이트라벨 통신장비는 공급망 공격의 전형적 경로이므로, 공공망·기간시설 조달 단계에서 제조사 식별과 펌웨어 검증을 의무화하고, 의심 장비는 MAC 주소 기반 전수조사와 교체 예산 확보를 병행할 것을 권고한다.

주요 용어: 화이트라벨(제조사는 같지만 다른 상표로 판매되는 제품 방식), 백도어(공개 인증을 거치지 않고 시스템에 몰래 심어지는 비밀 접근 통로)

출처: Dark Reading