A fabricante chinesa de roteadores Zbtlink está no centro de uma controvérsia de segurança após a empresa de inteligência de ameaças VulnCheck acusá-la de embarcar seus produtos com um backdoor. Segundo a denúncia, os dispositivos tentam se conectar continuamente a servidores de comando e controle, aguardando ordens.

Em resposta, a Zbtlink negou a existência de um backdoor, classificando o código como uma “função de manutenção remota” usada em unidades de amostra para depuração de software. No entanto, em uma contradição flagrante, a empresa suspendeu temporariamente os downloads de firmware de seu site, citando a necessidade de corrigir “vulnerabilidades de segurança”. A manobra, reportada pelo The Register, lança uma sombra sobre a defesa da companhia e acende um alerta sobre a segurança da cadeia de suprimentos de hardware.

O 'não é bug, é feature' que não convence

A vulnerabilidade, apelidada de “ENDLESSDOORS” pelo CTO da VulnCheck, Jacob Baines, envolve uma ferramenta de controle remoto que opera com privilégios de administrador (root) e se comunica de forma não criptografada. Isso significa que qualquer ator mal-intencionado na rede poderia interceptar a comunicação e assumir o controle do roteador. Para Baines, não se trata de um bug, mas de um componente deliberadamente incluído no produto em mais de 20 modelos.

A explicação da Zbtlink — de que a função se destina apenas a unidades de amostra — perde força diante da remoção pública dos firmwares. A admissão de “vulnerabilidades” no mesmo momento em que se nega a intenção maliciosa soa, no mínimo, como uma tentativa de controle de danos que falhou em ser coerente. A defesa da empresa é minada por suas próprias ações.

A cadeia de suprimentos na berlinda

O caso transcende a Zbtlink. A empresa opera como uma fabricante de equipamentos originais (OEM/ODM), o que significa que seu hardware pode estar dentro de roteadores vendidos sob inúmeras outras marcas globalmente, incluindo no Brasil. O consumidor final pode ter um dispositivo vulnerável em casa sem sequer conhecer o nome Zbtlink. Este é um exemplo clássico do risco sistêmico na cadeia de suprimentos de tecnologia, onde a opacidade de um fornecedor pode comprometer a segurança de todo um ecossistema.

O episódio também joga luz sobre a ética da divulgação de vulnerabilidades. A VulnCheck optou por não seguir o protocolo de divulgação coordenada, que prevê um aviso prévio ao fornecedor. A justificativa de Baines é direta: o protocolo serve para corrigir defeitos não intencionais. Quando se trata de um componente que parece ter sido deliberadamente instalado, a prioridade muda de consertar o código para alertar o público.

Para mercados como o brasileiro, altamente dependentes de hardware importado, o incidente é um lembrete contundente. A questão não é apenas se um dispositivo específico tem ou não um backdoor, mas como empresas e consumidores podem auditar e confiar em uma cadeia de produção cada vez mais globalizada e complexa. A confiança, uma vez quebrada, é difícil de restaurar.

Com reportagem de Brazil Valley

Source · The Register