TL;DR: tre impianti scoperti nel firmware di router ZBT mostrano un problema che riguarda anche le PMI: la marca stampata sulla scocca non dice necessariamente chi ha prodotto hardware e software. Prima di cercare indicatori sofisticati, serve un inventario con modello reale, versione firmware, supporto e flussi di rete. Se la provenienza non è verificabile o il dispositivo non riceve aggiornamenti affidabili, segmentarlo è una misura temporanea. La soluzione è sostituirlo.

Un router da poche decine di euro può trasportare il traffico del gestionale, delle postazioni, delle telecamere e del terminale di pagamento. Eppure, in molte piccole aziende, resta l’apparato meno documentato della rete. Arriva con la connettività, viene acceso e rimane lì per anni.

La ricerca pubblicata da VulnCheck il 27 agosto 2026 rende questo errore molto concreto. I ricercatori hanno trovato tre componenti con capacità di accesso remoto in diverse generazioni di firmware ZBT: ENDLESSDOORS, DARKLANTERN e SPEAKINGSTONE. Il caso non autorizza a concludere che ogni router prodotto da ZBT sia compromesso. VulnCheck precisa che alcuni apparati basati su hardware ZBT usano firmware personalizzato senza gli impianti osservati. Il punto operativo è un altro: una stessa piattaforma può essere venduta con marchi diversi, mentre il compratore non vede chi ha scritto il firmware.

Il caso ZBT: tre impianti, tre percorsi di accesso

VulnCheck ha acquistato da un venditore statunitense un router cellulare Deep Orange da 88 dollari. L’apparato era un ZBT-WE826-T2 rimarchiato e utilizzava un firmware compilato nel 2019. Non conteneva ENDLESSDOORS, individuato in una ricerca precedente su circa venti modelli Zbtlink, ma altri due componenti.

DARKLANTERN ascolta sulla porta UDP 9992 dell’interfaccia WAN. Il firewall predefinito consente il traffico in ingresso e il protocollo non richiede un’autenticazione valida. Secondo l’analisi tecnica, un pacchetto può far eseguire comandi con privilegi di root. Tra il 18 e il 21 agosto 2026, lo scanner di VulnCheck ha identificato 203 istanze esposte in 22 Paesi, distribuite su 16 modelli dichiarati dai dispositivi.

SPEAKINGSTONE segue il percorso opposto: avvia connessioni in uscita verso un’infrastruttura di comando e controllo. Questo dettaglio conta. NAT e firewall perimetrale possono impedire di raggiungere un servizio in ascolto, ma non fermano automaticamente un processo che apre da solo una sessione verso l’esterno. Il protocollo osservato può trasmettere l’identità del dispositivo e supporta funzioni come esecuzione di comandi, modifica del DNS, lettura delle credenziali PPPoE e apertura di un tunnel SSH inverso.

I ricercatori hanno registrato un dominio di backup non più assegnato e lo hanno trasformato in un sinkhole, cioè un server controllato per ricevere i beacon senza impartire comandi. Al 21 agosto 2026 avevano contato 392 dispositivi unici; 390 erano in Cina e 363 dichiaravano lo stesso modello e la stessa versione firmware. È un dato osservato dal sinkhole, non una stima dell’intera base installata.

Gli indicatori da passare al fornitore IT. Per ENDLESSDOORS i ricercatori consigliano di cercare modelli e file specifici e di controllare il traffico in uscita sulle porte 7000 e 7001, generando un alert invece di limitarsi a bloccare la connessione. Per SPEAKINGSTONE l’indagine descrive comunicazioni UDP sulla porta 10000. Insieme alla porta UDP 9992 di DARKLANTERN sono i tre riscontri che rendono verificabile l’inventario della Fase 1.

Perché il logo sulla scocca non basta

ZBT lavora anche come OEM e ODM: produce piattaforme che altri operatori rivendono con un marchio proprio. VulnCheck ha collegato lo stesso hardware a offerte in Stati Uniti, Canada, Australia, Filippine, Germania e Russia. Questo non prova che ogni prodotto rimarchiato condivida lo stesso firmware. Dimostra però che cercare un solo nome nel registro degli acquisti non basta a ricostruire la filiera.

La distinzione utile è tra quattro soggetti: chi vende il prodotto, chi costruisce la scheda, chi mantiene il firmware e chi gestisce i servizi cloud contattati dal dispositivo. Nelle appliance economiche possono coincidere solo in parte. È lo stesso problema che ho descritto parlando di rischio AI lungo la filiera: il contratto visibile copre il fornitore diretto, mentre la superficie tecnica continua nei componenti e nei servizi a monte.

Per una PMI, la provenienza non è un esercizio geopolitico. È gestione del rischio. Se non sai chi firma gli aggiornamenti, per quanto tempo verranno pubblicati e quali server riceveranno telemetria, non puoi valutare il dispositivo. Il Paese di produzione, da solo, non risolve questa domanda.

Il rischio concreto dentro una piccola rete

Il router è un punto di fiducia. Decide dove inviare le richieste DNS, separa la rete interna da Internet e spesso termina VPN o connessioni cellulari di backup. Un processo con privilegi di root può quindi osservare configurazioni, cambiare la risoluzione dei nomi o creare un accesso persistente. Non serve immaginare un attacco cinematografico: basta alterare il percorso verso un servizio usato ogni giorno.

Una rete piatta amplifica il danno. Se PC amministrativi, NAS, stampanti, videocamere e dispositivi IoT condividono lo stesso segmento, la compromissione del gateway offre più occasioni di movimento laterale. La segmentazione non ripulisce un firmware ostile, ma limita ciò che l’apparato e i dispositivi collegati possono raggiungere.

CISA raccomanda di mantenere aggiornato l’inventario di apparati e firmware, non amministrare i dispositivi da Internet, segmentare con VLAN e regole di accesso e centralizzare i log quando possibile. Sono controlli sensati anche senza un incidente noto. Come per il confronto tra pentest e sicurezza continua, una verifica una tantum fotografa il dispositivo; inventario e monitoraggio mostrano invece quando cambia.

Fase 1: costruire l’inventario in 30 minuti

Parti dagli apparati che instradano traffico verso Internet: router principale, modem LTE o 5G di emergenza, travel router usati in trasferta, gateway per sedi remote e dispositivi forniti insieme a impianti o macchinari. Per ciascuno registra almeno:

  • marca commerciale, modello e revisione hardware riportati sull’etichetta;
  • versione e data del firmware mostrate nel pannello di gestione;
  • URL ufficiale da cui provengono gli aggiornamenti;
  • data dell’ultimo aggiornamento disponibile e fine supporto dichiarata;
  • presenza di gestione remota da WAN, servizi cloud o app obbligatoria;
  • ruolo nella rete e sistemi che dipendono dal dispositivo.

Fotografa anche l’etichetta e conserva l’hash del file firmware se il produttore permette di scaricarlo. Non serve fare reverse engineering per ottenere valore: modello esatto, revisione e versione evitano di applicare un bollettino al dispositivo sbagliato.

Per apparati rimarchiati, cerca l’ID FCC se presente, il prefisso MAC e i riferimenti nel manuale o nella pagina di aggiornamento. Sono indizi, non prove definitive. Se l’OEM resta incerto, scrivilo come tale nell’inventario. “Sconosciuto” è un dato più utile di un’assunzione.

Fase 2: contenere senza confondere mitigazione e cura

Disabilita la gestione amministrativa dalla WAN, chiudi servizi non necessari e limita l’accesso al pannello a una rete di amministrazione. Se il router lo consente, separa postazioni, server, ospiti e IoT in VLAN diverse con regole esplicite. Un terminale di pagamento non deve parlare con una telecamera; una rete ospiti non deve raggiungere il NAS.

Controlla poi il traffico in uscita. Un firewall o un resolver DNS separato può evidenziare connessioni periodiche verso domini inattesi, richieste a resolver non autorizzati o flussi UDP non documentati. Evita però di trasformare gli indicatori pubblicati nel blog di VulnCheck in una lista universale: riguardano gli esemplari e le versioni osservate. L’assenza di quei domini o di quelle porte non certifica un firmware.

Se il modello e la versione coincidono con quelli documentati, togli il dispositivo dal percorso di produzione e sostituiscilo. Un reset di fabbrica reinstalla la configurazione prevista dal firmware; non rimuove codice incorporato nell’immagine. Anche bloccare un singolo dominio è fragile: riduce un canale noto, ma non restituisce fiducia al sistema.

La segmentazione compra tempo. Non trasforma un firmware non affidabile in un firmware affidabile.

Fase 3: decidere quando sostituire il router

Non ogni anomalia richiede un acquisto immediato. La sostituzione diventa prioritaria quando ricorre almeno una di queste condizioni:

  • modello e firmware compaiono nell’elenco tecnico dei dispositivi osservati;
  • il produttore non pubblica più aggiornamenti o non dichiara un ciclo di supporto;
  • non esiste un canale verificabile per ottenere firmware e note di rilascio;
  • la gestione remota o il servizio cloud non possono essere disattivati;
  • l’apparato protegge sistemi critici ma non offre log, segmentazione o controllo degli accessi adeguati.

Se non puoi sostituirlo lo stesso giorno, mettilo dietro un gateway aggiornato, limita destinazioni e protocolli in uscita, separalo dai sistemi sensibili e fissa una data di rimozione. Senza una scadenza, il controllo compensativo diventa facilmente permanente.

Come comprare il prossimo apparato

Il NIST ha pubblicato nel luglio 2026 una guida rapida per la due diligence dei fornitori ICT. Propone di valutare provenienza, resilienza, pratiche di sicurezza di base e livelli della catena di fornitura. Per una PMI, questi concetti possono diventare domande brevi da inserire nel preventivo:

  • chi produce hardware e firmware del modello proposto;
  • fino a quale data sono garantiti gli aggiornamenti di sicurezza;
  • se gli aggiornamenti sono firmati e verificati dal dispositivo;
  • dove vengono pubblicati bollettini, CVE e note di rilascio;
  • quali servizi cloud, domini e porte sono necessari al funzionamento;
  • se configurazione e log possono essere gestiti senza dipendere da un’app consumer.

Il profilo NIST IR 8425A raccoglie requisiti di sicurezza per router di fascia consumer, sempre più usati anche nel lavoro remoto e nelle piccole sedi. Non è un bollino da applicare a un prodotto. È una base per confrontare capacità verificabili, invece di decidere solo su prezzo, velocità Wi-Fi e numero di antenne.

Un piano operativo in tre scadenze

Entro 24 ore

Crea l’inventario minimo, verifica se esistono apparati ZBT o rimarchiati compatibili con i modelli indicati da VulnCheck e disabilita la gestione da Internet. Salva configurazione e log prima di cambiare il dispositivo. Se trovi una corrispondenza esatta, isolalo e prepara la sostituzione.

Entro 7 giorni

Aggiorna gli apparati supportati, sostituisci quelli coinvolti o privi di una fonte firmware affidabile e separa almeno rete aziendale, ospiti e IoT. Documenta le eccezioni: dispositivo, motivo, controllo compensativo, responsabile e data di rimozione.

Entro 30 giorni

Aggiungi alla procedura acquisti una scheda di provenienza e supporto. Porta i log del gateway fuori dall’apparato, definisci le destinazioni DNS autorizzate e controlla trimestralmente versione firmware e fine supporto. Il lavoro più importante non è comprare un router nuovo oggi. È evitare che il prossimo diventi invisibile per altri sette anni.

La mia take: il router economico è debito operativo

Valutare un router solo sul costo iniziale è un errore contabile. L’apparato più economico può chiedere più tempo per capire chi lo mantiene, più eccezioni di rete e una sostituzione anticipata. Quel lavoro è costo, anche se non compare nella fattura.

Non adotterei una regola basata soltanto sulla nazionalità del produttore. Adotterei una regola più severa e verificabile: niente apparati critici senza provenienza del firmware, supporto datato, aggiornamenti autenticati e possibilità di funzionare con servizi remoti ridotti al minimo. Se il fornitore non sa rispondere, la risposta tecnica è già arrivata.

Fonti

Approfondimenti