OIEH Router Checker

Programma Windows che verifica con un clic se il tuo router è affetto dal backdoor cinese (ENDLESSDOORS)

Nessuna installazione · Nessun privilegio di amministratore · Nessuna trasmissione di dati all'esterno

Che cos'è?

Nell'agosto 2026, la società di sicurezza VulnCheck ha scoperto un backdoor di controllo remoto nel firmware ufficiale di 20 modelli di router cinesi Zbtlink (Shenzhen Zbtong Electronics) / Wiflyer e dei loro OEM (re-branding).

Nome: ENDLESSDOORS · ID vulnerabilità: CVE-2026-66747 (gravità 9.3/10)
Comportamento: si attiva automaticamente all'accensione, invia un segnale a un server in Cina circa ogni 35 secondi ed esegue comandi remoti con privilegi di amministratore (root) senza alcuna autenticazione.
Il lato preoccupante: non viene rimosso dal ripristino alle impostazioni di fabbrica (è incorporato nel firmware). Non viene bloccato nemmeno disattivando la gestione remota o UPnP (perché è il router a chiamare per primo verso l'esterno).

Questo programma permette anche ai principianti di effettuare in sicurezza una prima diagnosi per capire se il proprio router è tra quelli interessati da questa vicenda.

Se utilizzi un router fornito dall'operatore (KT/SKB/LGU+) o un ipTIME, molto probabilmente questo caso non ti riguarda. Se invece hai acquistato su AliExpress/Amazon un router 4G/5G o mini con un marchio sconosciuto, vale la pena controllare.

⚠️ Limiti da conoscere in anticipo (importante)

Questo programma è una diagnosi preliminare del rischio (triage), non uno strumento di verifica definitiva.

Il beacon di 35 secondi del backdoor è un segnale emesso dal router stesso verso l'esterno (WAN), quindi da un normale PC collegato sotto il router (dietro NAT) non è in alcun modo osservabile. Per questo il programma combina informazioni reperibili dal PC senza installazioni — produttore (MAC), porte, DNS, modello — e fornisce un verdetto a semaforo.

🟢 Tranquillo = produttore confermato come non correlato alla campagna Zbtlink (non significa che sia al sicuro da tutte le altre minacce alla sicurezza)
🟡 Attenzione = produttore non identificato o presenza di segnali sospetti → si consiglia di inserire l'etichetta / eseguire un'ispezione approfondita
🔴 Pericolo = dispositivo ritenuto tra quelli interessati da questo backdoor

Per una verifica definitiva, segui la guida all'intercettazione Wireshark generata dal pulsante [Apri guida ispezione approfondita] nel programma (metodo per catturare direttamente il beacon di 35 secondi collegando un notebook davanti alla WAN del router).

Istruzioni per l'uso (per principianti, 30 secondi)

Scarica questo repository tramite Code ▸ Download ZIP ed estrai l'archivio. (oppure git clone)
Nella cartella estratta, fai doppio clic su OIEH Router Checker.bat.
Quando si apre la finestra, premi il pulsante [Avvia controllo del mio router]. (richiede alcune decine di secondi)
Controlla il risultato tramite il colore del semaforo e il messaggio in alto.
- Inserisci modello / FCC ID riportati sull'etichetta del router nel campo di input per maggiore precisione (opzionale).
Se necessario, usa [Salva risultato] (file txt — utile da inviare a qualcuno di esperto per un parere) e [Apri guida ispezione approfondita].

Se all'esecuzione compare l'avviso "Protezione PC di Windows", premi Ulteriori informazioni ▸ Esegui comunque. (È un avviso normale per gli script personali non firmati.)

Se non si avvia (risoluzione dei problemi)

Questo programma non richiede alcuna installazione — usa solo componenti inclusi di default in Windows 10/11. Se non si avvia, nella maggior parte dei casi è uno dei seguenti problemi.

Esecuzione senza estrarre lo ZIP — la causa più comune. Fai clic destro sul file ZIP → [Estrai tutto], poi esegui OIEH Router Checker.bat all'interno della cartella estratta. Fare doppio clic direttamente nello ZIP o copiare solo il file .bat non funziona. (In questo caso il programma mostra un avviso.)
Se hai chiuso l'avviso SmartScreen — nella finestra blu "Protezione PC di Windows" devi premere Ulteriori informazioni ▸ Esegui comunque.
Altri errori — il messaggio di errore viene mostrato in un popup e nella finestra nera, con un registro dettagliato nel file %TEMP%\OiehRouterChecker.log. Se non riesci a risolvere, cattura il contenuto e segnalacelo qui sotto.

Segnalazioni: https://itoieh.blogspot.com/2026/08/oieh-router-checker.html (commenti)

Cosa viene controllato?

Controllo	Metodo	Significato
Identificazione produttore (fondamentale)	Confronto del codice produttore (OUI) del MAC del gateway	Se è della famiglia Zbtlink 🔴, se è operatore nazionale/ipTIME ecc. 🟢
Impronta pagina di amministrazione	Stringhe del titolo/server/corpo della pagina di gestione del router	Rilevamento tracce del firmware Zbtlink
Porte sospette	Verifica apertura porte principali: 23 (Telnet), 32764, 7547, ecc.	32764=🔴, Telnet=🟡, 7547 (TR-069)=normale per operatori
DNS hijacking	Controllo se i server DNS ricevuti dal PC rientrano nell'intervallo normale	DNS pubblico sconosciuto 🟡
Elenco dispositivi di rete	Elenca i dispositivi sulla stessa rete tramite cache ARP	Solo informativo
Confronto etichetta	Confronta modello/FCC ID inseriti con l'elenco dei dispositivi interessati	Se corrisponde 🔴

Principio di valutazione: se il produttore non viene confermato, non viene mai assegnato 🟢 (tranquillo).

🔴 Se il risultato è Pericolo

Isola questo router dalla rete. (Il backdoor non viene rimosso con il ripristino alle impostazioni di fabbrica o modifiche alla configurazione.)
Pianifica la sostituzione con un altro router sicuro.
Se hai usato quel router per molto tempo, cambia tutte le password degli account utilizzate su quella rete (soprattutto NAS, amministratore e password riutilizzate).

Modelli interessati da questo caso (Zbtlink/Wiflyer, inclusi possibili OEM)

CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326,
WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG209, WG259, WG1602,
WG1608-DSIM, WG2105, WG2107, WG3526, ZBT-Z8102AX-2SIM

Zbtlink offre pubblicamente servizi OEM/ODM (re-branding). Lo stesso hardware venduto con etichette di altri marchi potrebbe contenere lo stesso firmware, quindi non fidarti solo dell'etichetta. Se il prefisso del FCC ID (codice produttore) è 2AH9T o 2AC47, il produttore originale è Zbtlink.

Privacy · Sicurezza

Questo programma non trasmette alcun dato personale su Internet. Tutti i controlli avvengono solo in locale (PC ↔ router).
Non richiede privilegi di amministratore e non modifica il firmware del router.
L'oggetto del controllo deve essere la propria rete/le proprie apparecchiature.

Requisiti

Windows 10 / 11 (usa Windows PowerShell 5.1 incluso di default)
Nessuna installazione aggiuntiva necessaria (non serve nmap, Python, ecc.)

oieh-router-checker

Più Popolari