Dünya Çapında Satılan Çin Yapımı Router'larda Kritik Casusluk Açıkları Tespit Edildi

Dijital güvenliğimizin temel yapı taşlarından biri olan ağ yönlendiricileri (router), son yılların en büyük tedarik zinciri ve firmware güvenlik krizlerinden biriyle karşı karşıya. Siber güvenlik dünyasının öncü araştırma kuruluşlarından VulnCheck tarafından yayımlanan kapsamlı bir rapor, Çin merkezli Shenzhen Zhibotong Electronics (kısaca ZBT) tarafından üretilen ve dünya çapında onlarca farklı marka altında pazarlanan router firmware'lerinde (donanım yazılımı) gizlenmiş üç farklı casusluk implantını gün yüzüne çıkardı. İlk bakışta sıradan bir donanım arızası veya standart bir zafiyet gibi görünmeyen bu durum, cihazların içine bilinçli olarak yerleştirilmiş arka kapı mekanizmalarının varlığını kanıtlıyor.

Küresel ölçekte tüketici elektroniği pazarının karmaşık yapısı, bu tarz güvenlik açıklarının tespit edilmesini ve yayılmasını son derece kolaylaştırıyor. ZBT, doğrudan son kullanıcıya satış yapmaktan ziyade, beyaz etiketli (white-label) yani OEM/ODM üretici olarak çalışan bir şirket. Bu iş modeli sayesinde, Çin'de üretilen donanımlar Amazon, eBay veya yerel perakendeciler aracılığıyla ABD, Avrupa ve dünyanın dört bir yanında farklı marka isimleriyle alıcı buluyor. Kullanıcılar, evlerinde ya da küçük işletmelerinde güvenle kullandıkları ağ cihazlarının aslında arka planda hangi altyapıya sahip olduğundan habersiz bir şekilde dijital dünyaya bağlanıyor.

ENDLESSDOORS İmplantı: Root Yetkisiyle Gelen Tam Kontrol Tehlikesi

Araştırmanın odağındaki en tehlikeli keşiflerden biri, Zbtlink AX3000 model router üzerinde tespit edilen ve 'ENDLESSDOORS' olarak adlandırılan yazılım implantı oldu. Bu implant, klasik bir yazılım hatasından ziyade, sistemin kalbine entegre edilmiş gelişmiş bir uzaktan kontrol mekanizması olarak çalışıyor. Cihaz her açıldığında arka planda otomatik olarak devreye giren ENDLESSDOORS, kendisini Linux çekirdeğinin meşru bir süreci olan 'kworker' kılığına sokarak güvenlik yazılımlarından ve kullanıcı denetimlerinden ustalıkla gizleniyor.

Sistem, sabit kodlanmış (hard-coded) komuta-kontrol (C2) sunucularıyla periyodik olarak iletişime geçiyor. İşin en korkutucu boyutu ise bu iletişim sırasında neredeyse hiç şifreleme veya anlamlı bir kimlik doğrulama mekanizmasının bulunmayışı. Sunucudan iletilen komutlar doğrudan root yetkileriyle çalışan bir kabuğa (shell) aktarılıyor. VulnCheck araştırmacıları, kendi test ortamlarında bu komuta-kontrol sunucusunu taklit ederek test router'ının kontrolünü tamamen ele geçirmeyi başardılar. Bu durum, açığın teorik bir risk olmanın ötesinde, aktif olarak istismar edilebilecek kadar büyük bir fiziksel ve dijital tehdit barındırdığını net bir şekilde kanıtlıyor.

Farklı Modeller ve DARKLANTERN ile SPEAKINGSTONE Tehditleri

ZBT üretimi donanımlardaki güvenlik zafiyetleri yalnızca AX3000 modeliyle sınırlı kalmadı. Araştırma derinleştirildikçe, Z8102AX, WG3526 ve WE826-T3-DSIM gibi hücresel yönlendiriciler de dahil olmak üzere en az 20 farklı ZBT modelinde ENDLESSDOORS implantının izine rastlandı. CVE-2026-66747 koduyla kayıt altına alınan ve CVSS skoru üzerinden 10 üzerinden 9.3 gibi devasa bir tehlike puanı alan bu açık, sorunun büyüklüğünü gözler önüne seriyor.

Bununla da yetinmeyen VulnCheck ekibi, ABD'deki bir Amazon satıcısından yaklaşık 88 dolar karşılığında temin ettikleri 'Deep Orange' marka hücresel router'ı incelemeye aldı. Cihazın 2019 yılına ait eski firmware sürümü ENDLESSDOORS'u içermese de, bu kez 'DARKLANTERN' ve 'SPEAKINGSTONE' adı verilen iki farklı casusluk implantını barındırdığı keşfedildi. Özellikle DARKLANTERN, infosrvd servisi aracılığıyla WAN tarafındaki UDP 9992 portunu dış dünyaya tamamen açık bırakıyor. Kimlik doğrulama gerektirmeyen bu yapı sayesinde, internete bağlı herhangi bir kötü niyetli aktör, sadece 19 baytlık sabit bir bilgi sorgusu göndererek cihazın modelini, firmware versiyonunu, MAC adresini ve çalışma süresini (uptime) kolayca öğrenebiliyor.

Sektörel Etki ve Tedarik Zinciri Güvenliğinin Kırılganlığı

Bu kriz, tüketici teknolojisi pazarındaki tedarik zinciri şeffaflığının ne kadar kırılgan olduğunu bir kez daha acı bir şekilde hatırlatıyor. Günümüzde milyarlarca insan, ucuz ve işlevsel olduğu gerekçesiyle menşei belirsiz veya fason üretim ağ donanımlarını evlerine ve iş yerlerine sokuyor. Donanım seviyesine veya gömülü yazılımlara entegre edilen bu tür gizli arka kapılar; kurumsal casusluk, hassas verilerin ele geçirilmesi ve botnet ordularının kurulması için son derece elverişli bir zemin hazırlıyor. Üreticilerin maliyetleri düşürmek adına güvenlik denetimlerinden ödün vermesi veya bilinçli olarak bu tür yazılımlara izin vermesi, küresel siber güvenlik mimarisini kökten sarsıyor.

Sektörel Analiz ve Genel Değerlendirme

ZBT router'larında tespit edilen bu çok katmanlı casusluk implantları, akıllı ev ve küçük işletme ağ güvenliğinde dönüm noktası niteliğindedir. Donanım üretiminin tek bir coğrafi bölgede yoğunlaşması ve beyaz etiketli ürünlerin denetim mekanizmalarından yoksun bir şekilde global pazara sürülmesi, bireysel kullanıcıları siber saldırganların yanı sıra devlet destekli operasyonların da hedefi haline getirmektedir. Yazılım güncellemelerinin dahi güvenilir olmayan kaynaklardan manipüle edilebilmesi, sıradan tüketicilerin dijital mahremiyetini korumasını neredeyse imkansız kılmaktadır.

Gelecekte router ve IoT (Nesnelerin İnterneti) pazarında düzenleyici kurumların daha sıkı denetimler getirmesi kaçınılmazdır. Üreticilerin şeffaflık raporları sunması ve açık kaynaklı firmware alternatiflerinin yaygınlaşması, bu tür sinsi tehditlere karşı en etkili savunma hattı olacaktır. Aksi takdirde, evlerimizin ve ofislerimizin internet kapılarını tutan bu cihazlar, en güvendiğimiz anlarda dijital kalelerimizi içeriden fetheden birer Truva atı olmaya devam edecektir.