Router může být napaden kvůli chybě v jeho operačním systému, ale riziko může souviset také s tím, co už obsahuje jeho firmware a kam zařízení komunikuje. Dva bezpečnostní výzkumy z roku 2026 popisují právě tyto odlišné situace: zranitelnosti MikroTik RouterOS a implanty nalezené ve firmwaru routeru ze ZBT dodavatelského řetězce.
CERT Polska pojmenovalo MikroTrick řetězec dvou zranitelností, který umožňoval obejít ověření a získat plný přístup k administrátorské konzoli RouterOS. Podle CERTu vydal MikroTik 3. září 2026 opravy pro verze 7.25beta3, 7.24.2, 7.23.4 a 6.49.21 a doporučil přejít na opravenou verzi co nejdříve.
CERT Polska také popsalo opakující se znaky zjištěné u některých útoků, včetně spojení z adresy 82.192.72.4 a vytvoření účtu s plnými oprávněními. Aktualizace opraví zranitelnost, ale sama o sobě neprokazuje, zda zařízení nebylo napadeno už před instalací opravy.
VulnCheck se zaměřilo na jiný problém. Ve firmwaru routeru ZBT-WE826-T2, který výzkumníci koupili od amerického prodejce, našli implanty označované jako ENDLESSDOORS, DARKLANTERN a SPEAKINGSTONE. Podle jejich analýzy příkazy od řídicí infrastruktury přicházely v prostém textu a zařízení neumělo ověřit, že komunikuje s legitimním serverem.
Výzkumníci uvádějí, že mezi 18. a 21. srpnem 2026 identifikovali 203 internetově dostupných zařízení DARKLANTERN ve 22 zemích. Samostatně popisují, že po zprovoznění sinkhole obdrželi hlášení od 392 zařízení, z nichž 390 bylo v Číně. Jde o dvě různé skupiny a různé údaje, nikoli o důkaz, že všechny routery stejného původu obsahují implanty.
VulnCheck spojuje některé výrobky prodávané pod jinými značkami s platformami ZBT. Jmenuje například Digineo AC1200 Pro a ALLNET ALL-WR1200AC-WRT, zároveň ale výslovně varuje před zobecňováním: zkoumaný firmware MOFI implanty neobsahoval. Zjištění o jednom modelu nebo dodavatelském řetězci proto samo o sobě neurčuje stav každého zařízení prodávaného pod podobným názvem.
