⚠️ Limitaciones que debes conocer de antemano (importante)

Este programa es un diagnóstico preliminar de riesgo (triage), no una herramienta de dictamen definitivo.

La baliza de 35 segundos del backdoor es una señal que emite el propio router hacia el exterior (WAN), por lo que resulta intrínsecamente imposible de observar desde un PC normal conectado detrás del router (por estar tras el NAT). Por eso, este programa reúne lo que se puede averiguar desde el PC sin instalar nada —fabricante (MAC), puertos, DNS, modelo, etc.— y emite un veredicto en forma de semáforo.

• 🟢 Tranquilo = se ha confirmado que el fabricante no está relacionado con esta campaña de Zbtlink (no significa que esté a salvo de todas las demás amenazas de seguridad)
• 🟡 Precaución = no se ha podido identificar al fabricante o hay señales sospechosas → se recomienda introducir la etiqueta / realizar una inspección de precisión
• 🔴 Peligro = se ha determinado que el dispositivo es uno de los afectados por este backdoor

Si quieres una comprobación definitiva, sigue la guía de captura con Wireshark que genera el botón [Abrir guía de inspección de precisión] del programa (un método para conectar un portátil delante de la WAN del router y capturar directamente la baliza de 35 segundos).

Cómo usarlo (para principiantes, 30 segundos)

1. Descarga este repositorio con Code ▸ Download ZIP y descomprime el archivo. (o git clone)
2. Haz doble clic en OIEH Router Checker.bat dentro de la carpeta descomprimida.
3. Cuando se abra la ventana, pulsa el botón [Iniciar análisis de mi router]. (tarda varias decenas de segundos)
4. Comprueba el resultado mediante el color del semáforo y el mensaje de la parte superior.
   • Si introduces el modelo / FCC ID que aparece en la etiqueta del router en el campo de entrada, el resultado será más preciso (opcional).
5. Si lo necesitas, usa [Guardar resultado] (archivo txt — práctico para enviarlo a alguien de confianza para que lo revise) y [Abrir guía de inspección de precisión].

Si al ejecutarlo aparece el aviso "Protección de PC de Windows", pulsa Más información ▸ Ejecutar de todos modos. (Es un aviso habitual porque se trata de un script personal sin firmar).

Si no se ejecuta (solución de problemas)

Este programa no necesita que instales nada — solo utiliza componentes integrados de serie en Windows 10/11. Si no se ejecuta, en la mayoría de los casos se debe a una de las siguientes causas:

1. Ejecutarlo sin descomprimir el ZIP — la causa más común. Haz clic derecho en el archivo ZIP → [Extraer todo] y, después, ejecuta OIEH Router Checker.bat dentro de la carpeta descomprimida. No funciona si haces doble clic directamente dentro del ZIP o copias solo el archivo bat. (En ese caso, el programa mostrará un aviso emergente).
2. Si cerraste el aviso de SmartScreen — debes pulsar Más información ▸ Ejecutar de todos modos en la ventana azul "Protección de PC de Windows".
3. Cualquier otro error — el error se muestra en la ventana emergente y en la ventana negra, y queda un registro detallado en el archivo %TEMP%\OiehRouterChecker.log. Si te resulta difícil resolverlo, captura su contenido y avísanos en el enlace de abajo.

Informar de problemas: https://itoieh.blogspot.com/2026/08/oieh-router-checker.html (comentarios)

¿Qué se comprueba?

Principio del veredicto: si no se puede confirmar el fabricante, nunca se muestra 🟢 (tranquilo).

🔴 Si el resultado es peligro

1. Desconecta este router de la red. (El backdoor no se elimina con un restablecimiento de fábrica ni cambiando la configuración).
2. Plantea sustituirlo por otro router seguro.
3. Si has usado ese router durante mucho tiempo, cambia todas las contraseñas de las cuentas usadas en esa red (especialmente NAS, administrador y contraseñas reutilizadas).

Modelos afectados en este caso (Zbtlink/Wiflyer, incluidos posibles OEM)

Zbtlink ofrece OEM/ODM (re-etiquetado) de forma abierta. El mismo hardware comercializado con la etiqueta de otra marca podría llevar el mismo firmware, así que no te fíes solo de la etiqueta. Si el prefijo del FCC ID (código de fabricante) es 2AH9T o 2AC47, el fabricante original es Zbtlink.

Privacidad · Seguridad

• Este programa no envía a internet ningún dato tuyo. Todas las comprobaciones se realizan solo en local (mi PC ↔ mi router).
• No requiere permisos de administrador y no altera el firmware del router.
• El objetivo del análisis debe ser tu propia red/equipo.

Requisitos

• Windows 10 / 11 (utiliza el Windows PowerShell 5.1 integrado de serie)
• Sin instalación adicional (no se necesitan nmap, Python, etc.)

Documentación para desarrolladores

Estructura

Hemos separado el código que toca la red (.ps1) del código que decide (.Core.psm1). El Core es una función pura de "hechos recopilados → veredicto", por lo que se prueba por completo sin necesidad de red.

Ejecutar las pruebas

Actualización de los datos de análisis

Cuando se conozcan nuevos modelos afectados u OEM, basta con actualizar solo data/ioc.json sin modificar el código (affected.models, affected.ouis, affected.fcc_grantee_codes, etc.). La información no pública (dominios/IP de C2, etc.) se deja vacía, sin rellenarla con suposiciones, y el veredicto se resuelve en el sentido seguro (🟡).

Descargo de responsabilidad (Disclaimer)

Este programa es una herramienta no oficial con fines comunitarios y no está afiliado a las organizaciones de investigación de seguridad originales, como VulnCheck. 🟢 (tranquilo) significa "no es objetivo de esta campaña de ENDLESSDOORS/Zbtlink" y no garantiza la seguridad absoluta del equipo. El dictamen definitivo solo es posible mediante una inspección de precisión (captura en el lado WAN). El usuario es responsable del uso que haga de ella.

Licencia

MIT

Fuentes

• VulnCheck — ENDLESSDOORS Advisory
• VulnCheck — "ENDLESSDOORS Is Phoning Home. Pick Up."
• MAC OUI: IEEE Registration Authority / Wireshark manuf · FCC ID: fccid.io