研究：多款路由器内含已被开采的后门漏洞，包括于Walmart独家销售的中国品牌Jetstream

资安媒体CyberNews与资安研究人员Mantas Sasnauskas、James Clee及Roni Carta在本周共同揭露了多个路由器品牌的后门漏洞，相关漏洞将允许骇客自远端执行恶意程式并控制这些路由器，包括于Walmart独家销售的中国品牌Jetstream，以及在Amazon或eBay上销售的Wavlink，此外，研究人员也发现，这些含有漏洞的路由器系出同门，它们都源自于中国业者Winstars。

此一研究是始于Clee好奇这些低价路由器的安全性如何，于是他先在Amazon站上买了Wavlink，发现它含有后门，于是联系了CyberNews、Sasnauskas与Carta，想厘清采用同一固件的其它业者所制造的路由器，是否皆含有同样的后门，进而找到了Jetstream。

研究人员发现，不管是Wavlink或Jetstream品牌的路由器都有一个替后门设计的使用者界面，所使用的固件则含有一个可用来远端存取路由器的档案，其中有个Javascript会检查使用者所输入的凭证，若自远端监控此一Javascript即可取得用户凭证，就算未于Javascript中存放凭证，亦可自远端下载未加密的备份，同样可取得凭证。

研究人员认为，这并非人为疏失，而是有意为之，其程式码是在了解它可被未经授权存取的状态下所设计的，因为它除了具备一个后门界面之外，还在既有的认证架构之外验证凭证，不太像意外。

在确认后门之后，他们建立了一个诱捕系统，显示相关漏洞已遭到积极的开采，开采目的是为了散布Mirai僵尸病毒，且攻击IP位于中国。不仅如此，这类的漏洞也将允许骇客检视使用者所有的网络活动，甚至是控制整个网络，危害连结该网络的各式装置。

在追查Wavlink与Jetstream的来源之后，研究人员相信这两个品牌都是属于中国企业Winstars Technology的子公司。

调查显示，Wavlink与Winstars拥有部分同样的员工，且这两家公司的地址也是一样的，所销售的机型也很类似；至于在Walmart上销售的Jetstream产品也与Winstars产品具备相似的外观，且Jetstream与Wavlink装置不只是登入界面很像，在Wavlink登入界面的源代码中还发现Jetstream字样。此外，这些路由器内含的档案中，有许多网址同时出现Jetstream与Wavlink；Jetstream在揭露页面的资讯、配置档案及备份档案都与Wavlink一致，推测Jetstream可能是Winstars在美国市场所使用的品牌。

除了路由器之外，Wavlink品牌的Wi-Fi中继器也含有同样的后门。研究人员曾在今年2月将调查结果提报给Winstars，只是该公司一直没有回应。于是他们建议使用者最好直接换掉这些品牌的路由器与Wi-Fi中继器，以保障自家的装置及网络安全。