Hơn 20 mẫu router Trung Quốc bị phát hiện cài sẵn 'cửa hậu' cực nguy hại

Công ty VulnCheck cảnh báo các router do nhà sản xuất Trung Quốc Zbtlink chế tạo và được phân phối trên thị trường quốc tế dưới hai thương hiệu “Zbtlink” và “Wiflyer” có "cửa hậu" độc hại. Ảnh: VulnCheck.

Khoảng 100.000 router có vấn đề đã được lắp đặt trên khắp thế giới

VulnCheck là công ty an ninh mạng tư nhân của Mỹ, thành lập năm 2021 tại bang Massachusetts, chuyên nghiên cứu lỗ hổng và tình báo an ninh mạng. Theo Reuters, "cửa hậu" được ông Jacob Baines, Giám đốc công nghệ (CTO) của VulnCheck, phát hiện và đặt tên là "Endlessdoors" (Những cánh cửa vô tận).

Các router (bộ định tuyến) bị ảnh hưởng do nhà sản xuất Trung Quốc Zbtlink chế tạo và được phân phối trên thị trường quốc tế dưới hai thương hiệu “Zbtlink” và “Wiflyer”.

Zbtlink là thương hiệu của Công ty Trí Bác Thông Thâm Quyến (Shenzhen Zhibotong Electronics Co., Ltd.), một nhà sản xuất thiết bị mạng có trụ sở tại thành phố Thâm Quyến, tỉnh Quảng Đông. Công ty này chuyên sản xuất các sản phẩm: Router Wi-Fi, router 4G/5G, router công nghiệp, thiết bị OpenWrt, CPE, Gateway IoT…

Ngoài việc bán dưới thương hiệu Zbtlink, công ty còn gia công (OEM/ODM) cho nhiều đối tác trên thế giới. Vì vậy, cùng một phần cứng có thể xuất hiện dưới nhiều tên thương hiệu khác nhau, khiến việc xác định số lượng thiết bị bị ảnh hưởng trở nên khó khăn.

Theo Reuters, Zbtlink hiện chưa phản hồi yêu cầu bình luận về phát hiện trên của VulnCheck.

Ông Baines ước tính ít nhất 100.000 router thuộc nhóm này đã được triển khai trên toàn thế giới, nhưng chưa thể xác định chúng tập trung ở những quốc gia nào cũng như có bao nhiêu thiết bị đang được sử dụng tại Mỹ.

Một mẫu router của Công ty Trí Bác Thông Thâm Quyến. Ảnh: ZBT.

Trong bài viết đăng trên trang web của VulnCheck, ông Baines cho biết chương trình cửa hậu này được thiết kế để cứ khoảng 35 giây lại tự động kết nối tới một địa chỉ IP nhất định và một tên miền đăng ký tại Trung Quốc.

Người kiểm soát các tên miền này về lý thuyết có khả năng chiếm quyền điều khiển router, sau đó lấy router làm bàn đạp để tiếp cận những thiết bị khác trong cùng mạng nội bộ.

Theo ông Baines, phần lớn người sử dụng các loại router này tại doanh nghiệp nhỏ hoặc văn phòng gia đình có thể hoàn toàn không biết thiết bị của mình tiềm ẩn nguy cơ như vậy.

"Nếu đặt một thiết bị như thế trong phòng thí nghiệm của trường đại học, điều đó chẳng khác nào trực tiếp mời đối phương bước vào phòng thí nghiệm và cho phép họ tự do di chuyển trong mạng", ông Baines cảnh báo, đồng thời cho rằng năng lực xâm nhập như vậy có thể gây hậu quả đặc biệt nghiêm trọng.

Phát hiện mới này tiếp tục làm gia tăng những lo ngại tại phương Tây về rủi ro an ninh từ các thiết bị mạng sản xuất tại Trung Quốc.

Trong nhiều năm qua, chính phủ một số nước phương Tây liên tục cảnh báo rằng các nhóm tin tặc có liên hệ với Trung Quốc có thể khai thác thiết bị mạng để xâm nhập hệ thống và tiến hành các cuộc tấn công mạng. Bắc Kinh nhiều lần bác bỏ những cáo buộc này, khẳng định Trung Quốc không tham gia cũng như không hỗ trợ bất kỳ hoạt động tấn công mạng trái phép nào.

Tháng 3 năm nay, Ủy ban Truyền thông Liên bang Mỹ (FCC) đã viện dẫn lý do an ninh quốc gia để tuyên bố cấm nhập khẩu các mẫu router tiêu dùng mới sản xuất ở nước ngoài; tuy nhiên sau đó một số doanh nghiệp không phải của Trung Quốc đã được miễn áp dụng quy định này.

Trước đó, vào tháng 2/2026, chính quyền bang Texas cũng khởi kiện TP-Link, cáo buộc hãng sản xuất router có trụ sở tại California, vốn được tách ra từ một doanh nghiệp Trung Quốc, đã tạo điều kiện để người Trung Quốc tiếp cận thiết bị của người tiêu dùng Mỹ. TP-Link đã bác bỏ cáo buộc này.

Mẫu ZBT-WE1326 nằm trong danh mục sản phẩm bị ảnh hưởng do VulnCheck công bố. Ảnh: ZBT.

Danh sách 20 mẫu router bị ảnh hưởng

Theo báo cáo kỹ thuật của VulnCheck, mã độc ENDLESSDOORS được nhúng sẵn trong firmware của 20 mẫu router sau đây: CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526, Z8102AX-2DSIM (AX3000)

Các thiết bị này được bán dưới nhiều thương hiệu khác nhau như Zbtlink, ZBT, ZBTWiFi, Wiflyer, thậm chí còn được dán nhãn OEM để các nhà phân phối khác bán lại trên Amazon, Alibaba, AliExpress và nhiều kênh thương mại điện tử.

Hiện chưa có dấu hiệu cho thấy các mẫu router trong báo cáo của VulnCheck được phân phối chính hãng hoặc sử dụng rộng rãi tại Việt Nam. Tuy nhiên, do Zbtlink là nhà sản xuất OEM, các thiết bị này có thể xuất hiện dưới nhiều thương hiệu khác nhau thông qua các kênh nhập khẩu hoặc thương mại điện tử xuyên biên giới. Điều này khiến việc nhận diện các sản phẩm bị ảnh hưởng trở nên phức tạp hơn.