Ogni router Zbtlink infetto avvia una connessione TCP verso Shanghai ogni 35 secondi: 2.468 richieste al giorno per dispositivo, quasi 246 milioni al giorno se si moltiplica per i 100.000 apparecchi che la società di ricerca VulnCheck stima distribuiti nel mondo.
Un codice del 2015 travestito da processo kernel
Il perno tecnico della backdoor, tracciata come CVE-2026-66747 con punteggio CVSS 9.3, è rctl: un client/server di comando e controllo caricato su GitHub il 14 gennaio 2015 e mai più aggiornato in undici anni. Nei firmware di Shenzhen Zhibotong Electronics il componente gira come kworker, il nome usato dai thread del kernel Linux, e si avvia al boot tramite uno script di init firmato dal produttore stesso. Non è un exploit remoto, è parte integrante del prodotto di fabbrica.
La comunicazione parte sempre dall'interno della rete domestica verso quattro endpoint principali: il dominio zbtctl.epplink.net ospitato su Alibaba Cloud a Shanghai (47.100.190.96), un secondo IP Alibaba a Shenzhen (47.107.224.89), online-string.com su Vultr e rbdg4nzqadui.wikaba.com su Dongyun Cloud nel Jiangsu. Traffico in chiaro sulla porta 7000 per i comandi shell con privilegi root, porta 7001 per la shell interattiva, zero autenticazione. VulnCheck ha censito oltre venti modelli affetti, tra cui CPE2801, WE1026-5G-WD, WG3526 e le versioni rimarchiate Wiflyer distribuite su Amazon e Shopify anche nel mercato italiano.
Fra 34 giorni scatta l'obbligo europeo di segnalazione
La scoperta pubblicata il 5 agosto 2026 arriva a ridosso della prima scadenza operativa del Cyber Resilience Act europeo. Il Regolamento UE 2024/2847 su EUR-Lex prevede che dall'11 settembre 2026 i produttori di dispositivi con elementi digitali immessi sul mercato UE debbano notificare al CSIRT nazionale e all'ENISA ogni vulnerabilità attivamente sfruttata, tramite la Single Reporting Platform di ENISA. Trentaquattro giorni, dal momento della scoperta pubblica, e Zbtlink o chi la importa in Europa sarà giuridicamente vincolato a un canale di trasparenza che oggi non esiste.
Il contrasto con gli Stati Uniti è netto. La Federal Communications Commission ha vietato l'importazione di nuovi router cinesi il 23 marzo 2026, sette mesi prima della pubblicazione di VulnCheck, per un rischio ritenuto capace di "colpire immediatamente le infrastrutture critiche". In Italia gli stessi modelli, comprese le etichette bianche, hanno continuato a essere venduti al dettaglio fino ad agosto. Un contesto in cui la Cina domina flussi che restano opachi anche nei settori regolati, dai chip AI alle materie prime (vedi le contraddizioni dei download di modelli open-weight cinesi).
Reset e password non risolvono, l'unica opzione è sostituire
Per chi possiede uno dei modelli elencati l'indicazione di VulnCheck è drastica: scollegare e sostituire il dispositivo. Un reset di fabbrica non basta perché rctl è compilato dentro il firmware originale, un cambio di password non serve perché l'implant non ascolta connessioni in ingresso ma esce verso i server. Zbtlink ha negato l'intenzionalità, sostenendo che la funzione riguarda solo unità campione destinate al debug, ma subito dopo la pubblicazione ha ritirato dalla propria pagina download i firmware interessati con un avviso di "vulnerabilità di sicurezza rilevate".
Il modello CPE2801 è ancora acquistabile a meno di 40 euro su marketplace italiani, spesso senza indicazione chiara del brand di origine e con recensioni positive di anni recenti. L'utente medio si accorge dell'infezione solo analizzando il traffico DNS in uscita o osservando le chiamate periodiche verso i domini zbtctl.epplink.net e wikaba.com dai log del proprio firewall. Un tema di supply chain più ampio, non nuovo: l'opacità nell'export dalle miniere e dalle fabbriche cinesi verso il mercato globale è la stessa dinamica che emerge, in altro settore, nel tracciamento dell'uranio congolese verso Pechino.
Il codice caricato nel 2015 continuerà a chiamare Shanghai fino a quando l'ultimo dispositivo non sarà staccato dalla rete. Fra un mese il CSIRT italiano avrà almeno uno strumento formale per tenere il conto delle chiamate.