Image credit: magnific
Tanda Bahaya! Backdoor Sembunyi dalam Router – Sebuah temuan terbaru dari peneliti keamanan siber mengungkap adanya backdoor tersembunyi pada sejumlah router merek Zbtlink yang dipasarkan secara global.
Celah ini bukan sekadar kerentanan biasa, melainkan sebuah implant berbahaya yang telah tertanam di dalam firmware perangkat dan aktif secara otomatis setiap kali router dinyalakan.
Backdoor tersebut memungkinkan pihak yang mengendalikannya memperoleh akses administratif penuh terhadap router tanpa memerlukan interaksi apa pun dari pengguna.
Kondisi ini menjadikan perangkat yang seharusnya berfungsi sebagai gerbang utama jaringan justru berubah menjadi pintu masuk bagi serangan siber.
Backdoor Aktif Sejak Router Dinyalakan
Implant yang diberi nama ENDLESSDOORS ditemukan oleh peneliti dari VulnCheck saat melakukan analisis terhadap firmware lebih dari 20 model router Zbtlink. Kerentanan ini telah didaftarkan sebagai CVE-2026-66747.
Berbeda dengan serangan siber pada umumnya yang membutuhkan korban untuk mengklik tautan berbahaya atau mengeksploitasi layanan yang terbuka ke internet, ENDLESSDOORS telah aktif sejak proses booting perangkat.
Begitu router menyala, implant tersebut secara otomatis membuat koneksi keluar (outbound connection) menuju server eksternal dan menunggu instruksi dari operator.
Dengan mekanisme ini, penyerang tidak perlu melakukan proses pembobolan terhadap router karena perangkat secara sukarela menghubungi server kendali yang telah ditentukan.
Yang lebih mengkhawatirkan, koneksi keluar tersebut tetap dapat berjalan meskipun router berada di balik NAT ataupun firewall yang hanya memfilter koneksi masuk.
|
Baca juga: Backdoor Baru di Balik Situs Claude AI Palsu |
Menyamar Sebagai Proses Sistem Linux
Agar tidak mudah terdeteksi, implant tersebut menggunakan nama proses kworker, nama yang sebenarnya umum digunakan oleh kernel Linux untuk menjalankan berbagai tugas sistem.
Namun pada perangkat yang terdampak, proses tersebut bukan merupakan proses kernel yang sah. Implant berjalan menggunakan hak akses root, memiliki alokasi memori sendiri, serta menjalankan versi modifikasi dari utilitas remote control lama bernama rctl.
Setelah berhasil terhubung ke server pengendali, router akan mengirimkan informasi identitas berupa label perangkat dan alamat MAC jaringan lokal. Selanjutnya server dapat mengirim berbagai perintah, termasuk:
- Menjalankan perintah sistem sebagai administrator (root)
- Membuka shell interaktif dari jarak jauh
- Mengubah konfigurasi perangkat
- Menginstal komponen tambahan
- Mengendalikan router secara penuh
Karena implant ini sudah tertanam di firmware, pengguna sama sekali tidak menyadari bahwa router mereka sedang berkomunikasi dengan server eksternal.
Router Titik Masuk ke Seluruh Jaringan
Router merupakan perangkat yang menghubungkan seluruh jaringan internal dengan internet. Jika perangkat ini berhasil dikuasai penyerang, dampaknya bisa jauh lebih besar dibandingkan kompromi pada satu komputer.
Penyerang berpotensi:
- Memantau lalu lintas jaringan.
- Mengubah konfigurasi DNS.
- Menyisipkan serangan terhadap perangkat lain di jaringan.
- Menginstal malware tambahan.
- Melakukan pergerakan lateral (lateral movement) menuju server internal.
Karena router berada di posisi strategis, kompromi terhadap perangkat ini sering kali sulit terdeteksi namun memberikan keuntungan besar bagi pelaku serangan.
Banyak Model Diduga Terdampak
Peneliti mengonfirmasi implant tersebut pada 21 firmware yang digunakan oleh berbagai model router, antara lain:
- CPE2801 Series
- WE Series
- WG Series
- Z8102AX-2DSIM
Peneliti juga mengingatkan bahwa perangkat keras dan firmware yang sama dapat dipasarkan menggunakan merek berbeda (rebranding).
Artinya, jumlah perangkat yang terdampak kemungkinan jauh lebih banyak dibandingkan daftar model yang telah dipublikasikan.
Router jenis ini banyak digunakan pada:
- Rumah
- Kantor kecil
- Lokasi proyek sementara
- Hotel
- Armada kendaraan
- Cabang perusahaan
- Perangkat internet berbasis jaringan seluler (Cellular CPE)
Belum Ada Firmware Bersih
Berbeda dengan sebagian besar kerentanan yang cukup diselesaikan melalui pembaruan perangkat lunak, kasus ini lebih kompleks.
Hingga laporan dipublikasikan, belum tersedia firmware yang dipastikan bersih untuk perangkat-perangkat tersebut.
Artinya, pengguna tidak cukup hanya melakukan pembaruan sistem karena firmware yang telah dikirimkan sejak awal sudah mengandung fungsi remote control tersembunyi.
Oleh sebab itu, para peneliti merekomendasikan agar organisasi mempertimbangkan penggantian perangkat, terutama untuk router yang digunakan pada jaringan produksi atau infrastruktur penting.
|
Baca juga: Serangan Backdoor WordPress Kontrol Admin Bisa Dicuri! |
Sarankan bagi Pengguna dan Administrator
Bagi organisasi maupun pengguna yang masih menggunakan router Zbtlink, beberapa langkah berikut dapat membantu mengurangi risiko:
- Identifikasi model router yang digunakan, termasuk perangkat yang berada di kantor cabang, kendaraan operasional, maupun lokasi proyek.
- Periksa proses mencurigakan seperti proses kworker yang tidak berasal dari kernel Linux.
- Pantau lalu lintas jaringan keluar, khususnya koneksi menuju port TCP 7000 dan 7001.
- Blokir komunikasi ke domain atau alamat IP mencurigakan yang berkaitan dengan infrastruktur pengendali implant.
- Pisahkan perangkat yang dicurigai ke segmen jaringan tersendiri (network isolation).
- Simpan log dan bukti forensik sebelum melakukan penggantian perangkat.
- Pertimbangkan penggantian router apabila perangkat digunakan untuk menangani lalu lintas jaringan penting.
Firmware Berbahaya Sulit Dipercaya Kembali
Peneliti menegaskan bahwa menonaktifkan skrip startup atau memblokir koneksi keluar bukanlah solusi permanen.
Ketika sebuah firmware diketahui telah menyertakan fungsi backdoor tersembunyi sejak awal, tidak ada jaminan bahwa tidak terdapat mekanisme lain yang juga belum ditemukan.
Karena itu, pendekatan paling aman adalah mengganti perangkat dengan produk dari vendor yang memiliki rekam jejak keamanan yang baik serta menyediakan pembaruan firmware secara berkala.
Keamanan Perangkat Jaringan
Kasus ENDLESSDOORS menjadi pengingat bahwa ancaman siber tidak selalu berasal dari malware yang diunduh pengguna atau serangan terhadap komputer.
Perangkat jaringan seperti router kini juga menjadi target yang sangat menarik karena mampu memberikan akses luas ke seluruh jaringan.
Bagi organisasi, melakukan inventarisasi perangkat jaringan, memantau lalu lintas keluar, serta memilih vendor yang transparan dalam pengelolaan keamanan firmware merupakan langkah penting untuk mengurangi risiko serangan di masa mendatang.
Di era ketika perangkat jaringan menjadi fondasi konektivitas digital, memastikan integritas firmware sama pentingnya dengan melindungi komputer dan server dari ancaman siber.
Sumber berita:
