20 款換牌 Zbtlink router 內置遙控後門：型號、firmware 同自保方法
廠方未有修正版，factory reset 清唔走 firmware 入面嘅程式
VulnCheck 拆解一部 Zbtlink 5G router 時，發現入面藏住名為 ENDLESSDOORS 嘅遙控程式。呢段程式由官方 firmware 帶入，開機就自動用 root 權限運行，再主動連去外部 server 等指令。研究人員喺隔離環境成功接管連線，取得完整 root shell，即係有能力讀取或者修改 router 入面嘅資料、改網上流量設定，甚至借部機再掂同一網絡嘅其他裝置。
研究確認後門會連去幾個位於中國同其他地區嘅雲端節點，不過server 喺中國唔代表已證實有中國政府或者特定組織參與。公開資料亦未證明呢批 router 已經大規模俾人遙控。可以肯定嘅係，個設計冇驗證控制端身份，通訊亦冇加密；只要有人控制到相關網絡路徑、DNS 解析或者 server，就有機會接管正主動連去 server 嘅裝置。
點解睇品牌名會睇漏
Zbtlink 背後廠商深圳市智博通電子有做 OEM 同 ODM，硬件、firmware 同外殼可以換個名再賣。VulnCheck 實際見到同一款機以 Zbtlink、ZBT、ZBTWiFi 同 Wiflyer 等名義出現，亦可能有冇清楚品牌嘅 cellular CPE。研究確認 Wiflyer WG3526 同 ZBT 標示版本同樣受影響，但換牌名單未完整公開，所以暫時唔可以順手將其他牌子都列做中招。
呢種供應模式令傳統「避開某個牌子」嘅做法唔太管用。香港有啲家庭同細公司會喺網店或者跨境平台買平價 4G／5G、旅行同後備 router，呢類產品本身有實際用途；不過暫時未查到港行代理、香港銷量或者本地受影響名單，冇證據顯示香港出現大規模中招。手上有來源唔清楚嘅 SIM router，直接查 model number 最實際。
圖片：VulnCheck
已確認型號同 firmware
VulnCheck 確認 20 個型號：CPE2801、WE1026-5G-WD、WE1326、WE2007、WE2008-DSIM、WE2416、WE3326、WE5927、WE5931、WE5931AC、WE826-T3-DSIM、WG108、WG1602、WG1608-DSIM、WG209、WG2105、WG2107、WG259、WG3526、Z8102AX-2DSIM。型號通常印喺機底、機背貼紙或者包裝嘅「Model／Model No.」欄；搵唔到貼紙，可以登入管理頁睇 System Information，但唔好單靠首頁顯示嘅品牌名。
研究逐一驗出 21 個帶後門嘅 firmware 檔案：CPE2801_V22.10.09、WE1026-5G-WD_V21.04.07、WE1326_V22.02.18_1、WE2007_V23.08.12、WE2008-DSIM_V23.08.11、WE2416_V21.03.22 同 V21.03.22_1、WE3326_V20.09.30、WE826-T3-DSIM_V21.12.21、WG108_V21.08.06_1、WG1602_V23.10.11、WG1608-DSIM_V23.03.16、WG209_V21.07.28、WG2105_V22.05.30、WG259_V21.03.23、WG3526_V22.11.01、WE5927_V22.08.10、WE5931_V22.05.31、WE5931AC_V22.05.31、WG2107_V22.09.08，同 Z8102AX-2DSIM-NAND-MT7981-v7.6.7.2-25.0527_174431。清單只代表研究已確認嘅版本，唔代表同型號其他版本自然安全。
圖片：VulnCheck
中招應該點處理
如果型號或者 firmware 對得上，先拔走 WAN 線、停用 SIM 或者關機，唔好再畀佢接觸主網絡。公司環境要暫時保留裝置，就應由另一部可信 router 或 firewall 將佢放入獨立 VLAN，封鎖佢掂內部裝置同限制所有外連；用受影響 router 自己嘅 guest network 做隔離都唔可靠。普通家庭冇呢套設備，直接停用同更換會穩陣好多。
換機後要喺可信裝置改 Wi‑Fi、router 管理員同其他曾經共用嘅密碼，細公司亦應檢查 DNS、port forwarding、VPN、管理員帳戶同近期網絡紀錄有冇異常。呢啲係風險處理，唔代表研究已證實有人偷過密碼。VulnCheck 有公開企業用偵測規則，但一般用家唔使自行嘗試 SSH 指令或者網上搵來歷不明嘅 firmware，以免刷壞部機或者再裝入其他惡意程式。
Factory reset 點解幫唔到
Factory reset 通常只會清除 Wi‑Fi 名、密碼、管理設定同其他用戶資料，再由現有 firmware 還原預設值。ENDLESSDOORS 本身藏喺 firmware，仲設定成開機自動啟動，reset 完重新開機一樣會返嚟。重新刷入研究確認有問題嘅官方檔案亦冇分別，因為等於再次安裝同一段程式。
Zbtlink 已經暫時下架受影響嘅 firmware，話緊急開發同驗證修正版，但截至 2026 年 8 月 6 日仍未有可下載嘅安全版本。研究團隊認為，呢批 router 已經唔再值得信任；如果平時用佢處理正常上網流量，就應該更換。就算稍後有修正版，亦要等獨立研究重新驗證，唔好見到版本號轉咗就即刻當安全。
參考來源
- 9to5Mac — Biggest backdoor yet found in Chinese routers sold under multiple brand names — original report
- ENDLESSDOORS Is Phoning Home. Pick Up. — 原始安全研究，核對後門行為、實驗結果、型號、firmware 同處理建議。
- ZBT router firmware download／security remediation notice — 廠方公告，確認受影響檔案已暫時下架，修正版仍喺開發同驗證。
- rctl remote Linux control — ENDLESSDOORS 所用遙控工具嘅原始程式庫，提供功能同設計背景。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
