OIEH Router Checker

برنامج ويندوز يفحص بنقرة واحدة ما إذا كان راوتك ضمن الأجهزة المتأثرة بالباب الخلفي الصيني (ENDLESSDOORS)

لا حاجة للتثبيت · لا حاجة لصلاحيات المسؤول · لا إرسال للبيانات خارجيًا

ما هذا؟

في أغسطس 2026، اكتشفت شركة الأمن VulnCheck بابًا خلفيًا للتحكم عن بُعد في البرامج الثابتة الرسمية لـ 20 طرازًا من أجهزة الراوتر الصينية Zbtlink (شنتشن زيبوتونغ للإلكترونيات) / Wiflyer وأجهزة OEM (العلامات البيضاء) التابعة لها.

• الاسم: ENDLESSDOORS · رقم الثغرة: CVE-2026-66747 (الخطورة 9.3/10)
• السلوك: يعمل تلقائيًا عند تشغيل الجهاز، ويرسل إشارة إلى خوادم في الصين كل 35 ثانية تقريبًا، وينفّذ أوامر عن بُعد بصلاحيات المسؤول (root) دون أي مصادقة.
• المخيف: لا يُزال بإعادة ضبط المصنع (لأنه مدمج في البرنامج الثابت)، ولا يتم حجبه بإيقاف الإدارة عن بُعد أو UPnP (لأن الراوتر هو من يتصل بالخارج أولًا).

يمكّنك هذا البرنامج — حتى لو كنت مبتدئًا — من إجراء تشخيص مبدئي آمن لمعرفة ما إذا كان راوتك ضمن أجهزة هذه الحملة المستهدفة.

إذا كنت تستخدم راوترًا مقدَّمًا من مزود الخدمة (KT/SKB/LGU+) أو راوتر ipTIME، فغالبًا لا ينطبق عليك هذا الأمر. أما إذا كان راوتر 4G/5G أو راوترًا مصغّرًا بعلامة غير مألوفة واشتريته مباشرة من علي إكسبريس/أمازون، فمن الجدير التحقق منه.

⚠️ قيود يجب معرفتها أولًا (مهم)

هذا البرنامج هو تشخيص أولي للخطر (triage) وليس أداة حكم قاطع.

إشارة الـ35 ثانية (beacon) هي إشارة يبثها الراوتر نفسه إلى الخارج (WAN)، لذا لا يمكن رصدها من الأساس من جهاز كمبيوتر عادي متصل خلف الراوتر (لأنه خلف NAT). لذلك يجمع هذا البرنامج ما يمكن معرفته من الكمبيوتر دون تثبيت أي شيء — الشركة المصنعة (MAC) والمنافذ وDNS والطراز وغيرها — ويصدر حكمه بإشارة ضوئية.

• 🟢 مطمئن = تأكّد أن الشركة المصنعة غير مرتبطة بحملة Zbtlink هذه (لا يعني أنه آمن من جميع التهديدات الأمنية الأخرى)
• 🟡 انتباه = تعذّر تحديد الشركة المصنعة أو توجد إشارات مشبوهة → يُنصح بإدخال بيانات الملصق/إجراء فحص دقيق
• 🔴 خطر = يُعتبر الجهاز من الأجهزة المستهدفة بهذا الباب الخلفي

إذا أردت فحصًا قاطعًا، فاتبع دليل اعتراض Wireshark الذي ينشئه زر [فتح دليل الفحص الدقيق] داخل البرنامج (طريقة توصيل لابتوب أمام منفذ WAN للراوتر لالتقاط إشارة الـ35 ثانية مباشرة).

طريقة الاستخدام (للمبتدئين، 30 ثانية)

1. نزّل هذا المستودع عبر Code ▸ Download ZIP وفك ضغطه. (أو عبر git clone)
2. انقر نقرًا مزدوجًا على OIEH Router Checker.bat داخل المجلد الذي فككت ضغطه.
3. عند ظهور النافذة، اضغط زر [بدء فحص الراوتر الخاص بي]. (يستغرق عدة ثوانٍ)
4. تحقق من النتيجة عبر لون الإشارة الضوئية والنص في الأعلى.
   • يمكنك إدخال الطراز / معرّف FCC المكتوب على ملصق الراوتر في حقل الإدخال للحصول على نتيجة أدق (اختياري).
5. استخدم عند الحاجة [حفظ النتيجة] (ملف txt — مناسب لإرساله لشخص مطلع لمراجعته) و**[فتح دليل الفحص الدقيق]**.

إذا ظهر تحذير «حماية الكمبيوتر في Windows» عند التشغيل، اضغط معلومات إضافية ▸ تشغيل. (هذا تحذير طبيعي يظهر لأن السكربت شخصي وغير موقّع.)

عندما لا يعمل (استكشاف الأخطاء وإصلاحها)

لا يحتاج هذا البرنامج إلى تثبيت أي شيء — فهو يستخدم فقط المكونات المضمنة افتراضيًا في Windows 10/11. إذا لم يعمل، فغالبًا يكون السبب أحد الأمور التالية:

1. تشغيله دون فك ضغط ملف ZIP — السبب الأكثر شيوعًا. انقر بزر الماوس الأيمن على ملف ZIP → [استخراج الكل]، ثم شغّل OIEH Router Checker.bat من داخل المجلد المُستخرَج. لن يعمل إذا نقرت نقرًا مزدوجًا داخل ملف ZIP مباشرةً أو نسخت ملف الـbat وحده. (في هذه الحالة يعرض البرنامج نافذة منبثقة إرشادية.)
2. إذا أغلقت تحذير SmartScreen — يجب الضغط على معلومات إضافية ▸ تشغيل في النافذة الزرقاء «حماية الكمبيوتر في Windows».
3. أخطاء أخرى — يظهر محتوى الخطأ في نافذة منبثقة وفي نافذة سوداء، ويُحفظ سجل مفصّل في ملف %TEMP%\OiehRouterChecker.log. إذا تعذّر الحل، التقط محتوى السجل وأرسله عبر الرابط أدناه.

للإبلاغ عن مشكلة: https://itoieh.blogspot.com/2026/08/oieh-router-checker.html (التعليقات)

ماذا يفحص؟

مبدأ الحكم: إذا لم يتم التأكد من الشركة المصنعة، لا نمنح 🟢 (مطمئن) أبدًا.

إذا ظهرت النتيجة 🔴 خطر

1. افصل هذا الراوتر عن الشبكة. (إعادة ضبط المصنع أو تغيير الإعدادات لن تزيل الباب الخلفي.)
2. خطط لاستبداله براوتر آخر آمن.
3. إذا استخدمت هذا الراوتر لفترة طويلة، غيّر جميع كلمات مرور الحسابات التي استُخدمت على تلك الشبكة (خاصة NAS والمسؤول وكلمات المرور المُعاد استخدامها).

الطرز المتأثرة بهذه الحملة (Zbtlink/Wiflyer، تشمل احتمالية OEM)

CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326,
WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG209, WG259, WG1602,
WG1608-DSIM, WG2105, WG2107, WG3526, ZBT-Z8102AX-2SIM

توفّر Zbtlink خدمات OEM/ODM (العلامات البيضاء) بشكل علني. نفس العتاد الذي يحمل علامة تجارية أخرى قد يحتوي على نفس البرنامج الثابت، فلا تعتمد على الملصق وحده. إذا كانت بداية معرّف FCC (رمز الشركة المصنعة) هي 2AH9T أو 2AC47، فإن الشركة المصنعة الأصلية هي Zbtlink.

الخصوصية · الأمان

• لا يرسل هذا البرنامج أيًا من بياناتك عبر الإنترنت — جميع الفحوصات تتم محليًا فقط (كمبيوترك ↔ الراوتر الخاص بك).
• لا يتطلب صلاحيات المسؤول ولا يعدّل البرنامج الثابت للراوتر.
• يجب أن يكون الفحص على شبكتك/أجهزتك الخاصة فقط.

المتطلبات

• Windows 10 / 11 (يستخدم Windows PowerShell 5.1 المضمن افتراضيًا)
• لا يلزم تثبيت أي شيء إضافي (لا حاجة إلى nmap أو Python أو ما شابه)

وثائق المطور

البنية

OIEH Router Checker.bat        진입점(더블클릭) → PowerShell 실행
OiehRouterChecker.ps1          네트워크 프로브(사실 수집) + WinForms GUI
OiehRouterChecker.Core.psm1    순수 판정 로직(OUI/포트/DNS/판정/리포트) — 테스트 대상
data/ioc.json                  검사 데이터(피해 목록·OUI·포트 정책·신뢰 DNS)
templates/advanced-guide.html  정밀 검사(Wireshark) 안내문 템플릿
tests/OiehRouterChecker.Tests.ps1  Pester 테스트 (51개)

تم فصل الكود الذي يتعامل مع الشبكة (.ps1) عن الكود الذي يتخذ القرار (.Core.psm1). إن .Core.psm1 عبارة عن دوال نقية «الحقائق المجمّعة ← الحكم»، لذا تُختبر بالكامل دون الحاجة إلى شبكة.

تشغيل الاختبارات

Install-Module Pester -MinimumVersion 5.0 -Scope CurrentUser -Force   # 최초 1회
Invoke-Pester -Path tests\OiehRouterChecker.Tests.ps1 -Output Detailed

تحديث بيانات الفحص

عند معرفة طرز ضحايا أو شركات OEM جديدة، يكفي تحديث data/ioc.json فقط دون تعديل الكود (affected.models وaffected.ouis وaffected.fcc_grantee_codes وغيرها). المعلومات غير المكشوفة (مثل نطاقات/عناوين C2) تُترك بقيم فارغة ولا تُملأ بالتخمين، ويُتخذ الحكم في الاتجاه الآمن (🟡).

إخلاء المسؤولية

هذا البرنامج أداة غير رسمية لأغراض مجتمعية، ولا علاقة له بـ VulnCheck أو غيرها من مؤسسات الأبحاث الأمنية الأصلية. 🟢 (مطمئن) تعني «الجهاز ليس ضمن أهداف حملة ENDLESSDOORS/Zbtlink هذه» ولا تضمن الأمان الكامل للجهاز. لا يمكن إصدار حكم قاطع إلا عبر الفحص الدقيق (الاعتراض من جهة WAN). يتحمل المستخدم مسؤولية استخدامه.

الترخيص

MIT

المصادر

• VulnCheck — ENDLESSDOORS Advisory
• VulnCheck — "ENDLESSDOORS Is Phoning Home. Pick Up."
• MAC OUI: IEEE Registration Authority / Wireshark manuf · FCC ID: fccid.io