Cada 35 segundos, sin que el usuario lo sepa, el router intenta comunicarse con un servidor registrado en China. Así de simple —y así de grave— es el hallazgo que la firma de ciberseguridad VulnCheck publicó esta semana sobre más de 20 modelos de routers fabricados por la empresa china Zbtlink.
El investigador Jacob Baines, director de tecnología de VulnCheck, bautizó el fallo como “Endlessdoors”. No se trata de un error de programación corregible con un parche: según Baines, el mecanismo viene incluido de forma deliberada en el firmware de fábrica, lo que lo convierte en un problema de confianza más que en una vulnerabilidad técnica convencional.
Un proceso que se disfraza para pasar desapercibido
El implante se ejecuta con privilegios de root desde el arranque del dispositivo y se camufla como un proceso legítimo del núcleo Linux (los llamados “kworker”), lo que dificulta detectarlo incluso para usuarios con conocimientos técnicos.
Desde ahí, establece una conexión saliente en texto plano hacia una dirección IP fija y un dominio registrado en China. Quien controle ese servidor puede tomar el mando completo del router y, a partir de él, moverse hacia cualquier otro equipo conectado a la misma red: computadoras, cámaras, impresoras o sistemas de almacenamiento.
VulnCheck estima que hay al menos 100.000 routers afectados operando en el mundo, muchos de ellos en pequeñas oficinas y hogares que jamás sospecharían tener esta puerta trasera activa.
¿Por qué el nombre en la caja no basta para saber si estás expuesto?
Zbtlink no solo vende bajo su propia marca. Fabrica también para terceros bajo acuerdos OEM y ODM, por lo que el mismo hardware puede llegar al mercado con etiquetas como Wiflyer, ZBT o ZBTWiFi, e incluso como equipo genérico de conectividad celular sin marca clara.
Por eso VulnCheck recomienda identificar el riesgo por número de modelo y no por el nombre comercial impreso en la caja. La firma publicó la lista completa de los 20 modelos confirmados junto con su reporte técnico.
El contexto que convierte este hallazgo en algo más que un caso aislado
Este descubrimiento no ocurre en el vacío. Estados Unidos ya venía advirtiendo sobre el uso de equipos de red fabricados en China en campañas de espionaje como Volt Typhoon, Flax Typhoon y Salt Typhoon, dirigidas contra infraestructura crítica. La Comisión Federal de Comunicaciones (FCC) restringió a comienzos de este año la certificación de routers extranjeros por motivos similares.
Vale una aclaración importante: hasta ahora no se ha reportado un backdoor de este tipo en los routers de TP-Link, la marca que enfrenta una demanda separada del estado de Texas por presuntos vínculos con el gobierno chino, algo que la compañía niega. Sobre ese caso, Núñez Tech ya había cubierto el proceso legal contra TP-Link y su defensa pública. Lo de Zbtlink es distinto: aquí sí hay evidencia técnica confirmada, no una sospecha en tribunales.
Esa diferencia es la que le da peso al hallazgo de VulnCheck. Mientras otras advertencias sobre hardware chino se han basado en preocupaciones geopolíticas o en litigios, Endlessdoors es un caso donde el código y el tráfico de red hablan por sí solos.
Qué puede hacer alguien que tenga uno de estos routers en casa u oficina
VulnCheck no coordinó una divulgación tradicional con el fabricante porque no considera esto un fallo que se vaya a corregir con una actualización. Su recomendación es directa: verificar si el modelo instalado aparece en la lista publicada, restringir el acceso remoto de administración, monitorear conexiones salientes por los puertos 7000 y 7001, y sustituir el equipo cuando sea posible.
El caso deja una lección que trasciende a Zbtlink: en redes domésticas y de pequeñas empresas, el router suele ser el dispositivo menos vigilado y, a la vez, la puerta de entrada a todo lo demás.
