중국 ZBT가 만든 공유기에 출고 시점부터 심겨 있던 백도어 2종 SPEAKINGSTONE·DARKLANTERN을 분석하고, OEM 공급망 리스크와 탐지 방법을 짚는다.
2026년 8월 21일 기준, 중국 선전의 즈비퉁전자(ZBT, Zbtlink)가 만든 공유기 392대가 인터넷에 노출된 채 발견됐다. 이 라우터들은 출고 시점부터 관리자도 모르게 백도어 2종을 품고 있었다. CVE 넘버링 기관(CNA)이기도 한 보안업체 VulnCheck가 자체 취약점 조사 중 이 사실을 발견해 공개했다.
ZBT는 10년 넘게 라우터를 OEM·ODM 방식으로 공급해온 B2B 제조사다. 자체 브랜드 'Zbtlink' 외에도 Lippert Components, Wave WiFi, 호주 OneX, 캐나다 MoFI Network, 독일 Digineo 등 여러 회사에 화이트라벨 하드웨어로 공급된다. 이런 구조에서는 제조사가 펌웨어에 심은 코드가 최종 판매 브랜드와 무관하게 전 세계로 퍼진다. 소비자는 자신이 산 제품이 어느 공장에서 나왔는지 알기 어렵다.
VulnCheck는 이번에 두 개의 새 임플란트를 발견했다고 밝혔다. 앞서 2026년 초 공개된 ENDLESSDOORS 임플란트에 이은 세 번째, 네 번째 사례다.
SPEAKINGSTONE()은 yunmgrd라는 서비스로 동작한다. UDP 10000 포트로 하드코딩된 명령제어(C2) 서버에 아웃바운드 비콘을 보내는 방식이라, NAT나 일반적인 아웃바운드 필터링을 그대로 통과한다. 이 채널을 통해 공격자는 루트 권한으로 임의 명령을 실행하고, WAN 쪽 PPPoE 접속 자격증명을 탈취하며, DNS 하이재킹 대상 목록을 관리하고, 역방향 SSH 터널까지 열 수 있다.
DARKLANTERN()은 infosrvd 서비스로 UDP 9992 포트에서 인터넷 전체를 향해 인바운드 연결을 그대로 받는다. 라우터 기본 방화벽 설정 자체가 이 포트로 들어오는 외부 연결을 허용해 놓은 상태였다. 공격자는 이 포트로 명령을 주입해 인증 절차를 우회할 수 있다.
VulnCheck는 두 취약점 모두 CVSS 3.1 기준 9.8점(CVSS 4.0 기준 9.3점)으로 평가했다. 네트워크로 공격 가능하고, 인증도 사용자 상호작용도 필요 없는 최고 등급이다. 코드 자체는 2019년 빌드 펌웨어부터 이미 포함돼 있었던 것으로 보이지만, 공개는 2026년 8월 28일에야 이뤄졌다.
인터넷 전체 스캔 결과 DARKLANTERN은 8월 18~21일 사이 22개국에서 203개 인스턴스가 노출 상태로 발견됐다. SPEAKINGSTONE은 8월 21일 기준 392개의 고유 장치에서 확인됐고, 이 중 390대가 중국 내에 있었다. 영향을 받는 모델로는 WE826-T2, WE2426-C, WE5926, WE357 등이 거론된다.
공개 시점까지 공식 고정 펌웨어는 나오지 않았다. ZBT는 과거 ENDLESSDOORS 임플란트에 대해 "고객이 명시적으로 요청할 때만 쓰는 기술지원 도구"라고 해명한 바 있지만, 이번 두 임플란트에 대해서는 8월 28일 기준 별도 공개 성명이 없다.
두 임플란트 모두 고정된 UDP 포트를 쓴다는 점이 탐지 실마리다. DARKLANTERN은 인바운드 UDP 9992, SPEAKINGSTONE은 아웃바운드 UDP 10000 비콘이라, 네트워크 경계에서 이 포트로 오가는 트래픽을 표시해 두는 것만으로도 이상 신호를 잡을 수 있다.
근본적으로는 라우터를 "신뢰할 수 있는 내부 장비"가 아니라 잠재적 위협 지점으로 보는 네트워크 설계가 필요하다. 관리 인터페이스로 향하는 비정상 UDP 트래픽, 특히 해외 IP를 향한 아웃바운드 비콘은 소규모 사무실이나 가정 네트워크에서도 NetFlow나 방화벽 로그만으로 확인 가능한 이상 징후다.
최종 판매 브랜드는 제각각이어도 제조사가 같으면 백도어도 함께 퍼진다. OEM·화이트라벨 공급망 특유의 구조적 리스크다. 게다가 지금은 패치가 없는 상태라 설정 변경만으로는 막을 수 없고, 탐지와 격리(라우터를 신뢰하지 않는 네트워크 설계)만이 현재로선 유일한 완화책이다.
ZBT·Zbtlink의 공식 한국 유통망은 이번 취재로 확인되지 않았다. 다만 이런 화이트라벨 OEM 라우터는 원산지 표시 없이 브랜드만 바꿔 국내 중소사업장·산업 현장에 유통되는 경우가 드물지 않다. 출처가 불분명한 네트워크 장비를 도입했다면, 제조사를 확인하지 않은 채로는 같은 리스크에 노출돼 있을 수 있다는 뜻이다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.