Zyxel VMG8623-T50B Debrand

[notupus]

This thread because it probably applies to other Zyxel devices is written in English as it probably applies to a variety of devices.
If we look at the output of zycli sys atsh logged in as root using the password generator at https://www.onlinegdb.com/XR_spa_we we will see the following output in general

Firmware Version        : V[version in the x.xx format](A[branch].[some revision])[higher level revision]
Bootbase Version        : V[version] | [date{
Vendor Name             : Zyxel Communications Corp.
Product Model           : VMG8623-T50B
Serial Number           : S220Y10021864
First MAC Address       : macadress
Last MAC Address        : macadress+0xf
MAC Address Quantity    : 16
Default Country Code    : (country code)
Boot Module Debug Flag  : 01
Kernel Checksum         : 68A00776
RootFS Checksum         : EB4B7592
Romfile Checksum        : 00000F7B
Main Feature Bits       : 00
Other Feature Bits      :
7f9ca5d2: 04050f0d 00000100 00000000 00000000
7f9ca5e2: 00000000 00000000 00000000

We can note the "Other Feature Bits" which also come with a address related to them which I have not yet found out how it relates. This is the only parameter other than the model and vendor names and the bootbase version that we cant change with an easy method. This points that they are hardcoded in the bootloader and if we check https://github.com/AgostinoA/OpenWrt...e_version.xlsx we see that that is a weirdly formatted Model ID that corresponds to 0x45FD on that table, the following parameters are defined VMG8623-T50B WindGreece and EN7516+256MB RAM, which happen to be the SoC used along with the ram capacity( this could point that the Generic Version has more or less ram but that shouldnt concern us since the nand flash should be the same) On the same table we find "VMG8623-T50B Generic" which has a model id of 0x4553 shared with the "EMG5523-T50A Generic" however if we probe the available firmware on zyxel's website we find out that 04 05 05 03 with a hex encoding is found in what looks to be a file header on the ABPM branch. Therefore we likely can change the model id if we find where it is stored. doing a cat /proc/mtd

 mtd0: 00040000 00020000 "bootloader"
mtd1: 00040000 00020000 "romfile"
mtd2: 00204753 00020000 "kernel"
mtd3: 01940004 00020000 "rootfs"
mtd4: 02800000 00020000 "tclinux"
mtd5: 001fdc0c 00020000 "kernel_slave"
mtd6: 01780004 00020000 "rootfs_slave"
mtd7: 026a0000 00020000 "tclinux_slave"
mtd8: 00100000 00020000 "wwan"
mtd9: 00400000 00020000 "data"
mtd10: 00100000 00020000 "rom-d"
mtd11: 02000000 00020000 "misc"
mtd12: 000c0000 00020000 "reservearea"

gives this output, mtd0 is marked as bootloader, so using the following command

dd if=/dev/mtd0 of=bootloader

we will get a file that is the bootloader, opening it in a hex editor(scp works to transfer the file) we see the familiar now 04050f0d pattern at offset 0xffc1 on my bootloader, we can change that to 04 05 05 03 and flash it back to the device using the mtd commands

mtd unlock && mtd writeflash bootloaderpatched 262144 0 bootloader && zycli sys atcd && reboot

bootloaderpatched having being transferred to the device using scp and being the modified binary . For a complete debrand in order to gain access to the supervisor account you will likely need to reset after clearing rom-d using zycli sys atcd. A reset is recommended after this using

zycli sys atcr reboot

. After a reboot we see that we can update the firmware using Zyxel's official downloads(currently found at https://www.zyxel.com/global/en/supp...l=vmg3625-t50b ) .

Now you own a device that can be updated using the webui and is basically indistinguishable in all terms other than the Serial Number from a Generic Device.

[vioannou]

Μήπως θα είχες την ευκαιρία και την καλοσύνη να παραθέσεις όλα τα βήματα που πρέπει να γίνουν, ώστε να φτάσουμε στο official firmware update;

Να υποθέσω ότι μετά από αυτό μετατρέπεται σε vmg3625-t50b;

[geoavlonitis]

Δεν μετατρέπεται σε τίποτα. Ακόμα VMG8623-T50B είναι. Απλά μετά από reset δε θα δουλεύει το VoIP της Nova, εκτός και αν έχετε κρατήσει backup από πριν. Βέβαια θα χρειαστεί να ξαναπεραστούν οι κωδικοί με το χέρι, το backup παίζει ρόλο στο να "παίξει" το option 61 .

[vioannou]

Πριν από κάποιες μέρες μετέφερα τη γραμμή fiber στην Cosmote, που δίνει το "τραγικό" speedport (παραμετροποίηση μηδέν). Έχω κρατήσει το zyxel (με full πρόσβαση, με τους γνωστούς κωδικούς) και περιμένω το password για την τηλεφωνία (έχω κάνει αίτηση, αλλά δεν βλέπω ανταπόκριση, μάλλον θα παιδευτώ).
Ελεγα, λοιπόν, μήπως άξιζε τον κόπο (αν γίνεται εύκολα και χωρίς κίνδυνο brick) να "ξεφόρτωνα" τη wind-nova από το zyxel, γι αυτό ρωτάω πώς γίνεται η διαδικασία.

[notupus]

στειλε ενα δμ να σε βοηθεισω γιατι δεν ξερω αν γενικα γινετε σε ολα γιατι μονο ενα εχω, να δω διαφορες στο bootloader για να σου δωσω οδηγιες .

[geoavlonitis]

Δε χρειάζεται να περάσεις νέο firmware για να δουλέψει η τηλεφωνία της Cosmote στο ZyXEL. Πρέπει όμως να κάνεις Modify στο μενού VoIP->SIP->SIP Service Provider και στο Bound Interface Name να αλλάξεις τα τικαρισμένα VDSL_837 κτλ που θα βρείς, στα αντίστοιχα με _835 στο τέλος. Και φυσικά όλα τα πεδία SIP Proxy Server Address, REGISTER Server Address, SIP Service Domain με τα αντίστοιχα της Cosmote

[notupus]

θα μπορουσες μηπως να μου στειλεις το backup χωρις τους κωδικους να δω αν μπορω να περασω τα στοιχεια μου με τροπο τετοιον που μπορουμε γενικα και χωρις backup να βαζουμε κωδικους τηλεφωνιας με option 61 της νοβα?

[vioannou]

Πριν από λίγο μου έστειλε το password η Cosmote, κατάφερα και έκανα εγγραφή στην τηλεφωνία, μόνο που δεν δουλεύουν οι εισερχόμενες (μόνο οι εξερχόμενες). Επειδή με το speedport δουλεύουν, με την πρώτη ευκαιρία θα ψάξω ποια ρύθμιση στο Zyxel φταίει. Τελικά μόνο το ETH835 wan interface χρειάζεται με το pppoe passthrough ενεργοποιημένο. Αν έχετε κάποια ιδέα, ευπρόσδεκτη. Πάντως, ευχαριστώ πολύ για το ενδιαφέρον σας.

[geoavlonitis]

Νομίζω πρέπει να ορίσεις outbound proxy (στο drop-down μενού βρίσκεται αυτό) τον ims.otenet.gr port 5060

[vioannou]

Έτσι το έχω, αλλά φαίνεται ότι το zyxel είναι αλλεργικό στην cosmote!!! Καλούσα μέσα από το σπίτι από το cοsmote κινητό μου και η γραμμή έκλεινε. Μόλις τώρα κάλεσα από κινητό και σταθερό vodafone (από άλλο σπίτι) και καλεί κανονικότατα (βγαίνει ο τηλεφωνητής, μου έρχεται email για αναπάντητη κλήση κλπ.). Εννοείται ότι και τώρα το δικό μου κινητό δεν καλεί τη γραμμή... Και που έβγαλα τον outbound proxy πάλι το ίδιο συμβαίνει. Υποθέτω πως θα λυθεί με επικοινωνία με την cosmote.


Καμία βοήθεια, φυσικό ήταν, από την cosmote. Τελικά, δουλεύουν όλα κανονικά με voice primary compression type "g.711a".

Ευχαριστώ και πάλι.

[Spanos]

Ευχαριστώ, δούλεψε. Επιτέλους φλασάρισμα χωρίς USB to TTL καλώδιο.

Οι εντολές όμως δεν δούλεψαν, χρειάστηκε να δώσω διαφορετικές εντολές.

dd if=/dev/mtd0 of=/tmp/bootloader

Μετά με winscp παίρνεις το αρχείο από το tmp, που είναι δηλαδή η RAM, το κάνεις edit και το ξαναβαζεις ως bootloaderpatched. Μετά...

mtd unlock bootloader

mtd writeflash /tmp/bootloaderpatched 262144 0 bootloader 

zycli sys atcd

reboot

[NeCrOmAnCeR19]

σε ενα που επεσε στα χερια μου , ηταν σφραγισμενο απειραχτο , εκανα ολη την διαδικασια , αλλα μέσω WEB αρνειται να περασει το firmware ..

Σε αλλα δυο που ειχα παλι , έγινε η διαδικασια μια χαρα μεσα σε 10 λεπτα ...

Επίσης μετα απο καποιες προσπαθειες σταματησε να δουλεύει και ο root κωδικός , αλλα και ο admin κωδικός !!!

Περασα με usb ttl το τελευταιο firmware , αλλα οι κωδικοί εξακολουθουν να μην δουλεύουν !!!

Τι διαολο επαθε αυτό .


EDIT !!! η μαλακια μου δεν εχει ορια !!

Ειχα παρει καταλαθος τον bootloader απο ενα απο τα αλλα 2 zyxel που εφτιαχνα , και τον εριξα στο 3ο ... οποτε εφτιαξα εναν ακριβως κλώνο . ιδια mac address , ιδια serial number , ιδιους κωδικους !!!!

Αν ανεβασω τον bootloader εδω ξερει κανεις να μου πει πως θα φτιαξω απο το hex editor τα στοιχεια να ειναι σωστα ξανα ?

[notupus]

Στείλτε μου τις πληροφορίες και θα συντάξω έναν bootloader από την πηγή gpl, χρειάζομαι mac και sn

[Spanos]

Να ρωτήσω όσοι έχετε πειράξει bootloader και Firmware Version: V5.50(ABPM.8.0)C0, σας δουλεύει το 5Ghz; Εμένα δουλεύει, συνδέονται οι συσκευές αλλά δεν βλέπουν internet. To 2.4Ghz κομμάτι όλα καλά.

[finos]

debrand δε γινεται και περνοντας το fw απο τη σελιδα της zyxel , βαζοντας serial κι δινοντας εντολη να το τραβήξει απο TFTP ?