Кибершпионаж против телеком‑операторов: как работает кампания Calypso

Телекоммуникационные компании в Азиатско‑Тихоокеанском регионе и на Ближнем Востоке стали целью длительной кампании кибершпионажа, связанной с китайской группой Calypso, также известной под именем Red Lamassu. По данным исследователей кибербезопасности, операция продолжается как минимум с середины 2022 года и использует новое вредоносное ПО для Linux и Windows, позволяющее злоумышленникам закрепляться в сетях и собирать разведывательную информацию.

Эксперты относят эту активность к категории APT (Advanced Persistent Threat) — сложных атак, направленных на длительное скрытое присутствие в инфраструктуре жертвы. Вместо разрушительных действий злоумышленники стремятся незаметно наблюдать за сетями и получать стратегически ценную информацию.

Длительная операция против телеком‑операторов

Расследование показало, что атаки были направлены прежде всего на телекоммуникационные компании в странах Азии и Ближнего Востока. После первоначального проникновения злоумышленники разворачивали специализированные инструменты для расширения доступа внутри сети и обеспечения долговременного присутствия.

Ключевую роль в операции играют два ранее неизвестных семейства вредоносного ПО:

• Showboat — инструмент пост‑эксплуатации для Linux
• JFMBackdoor — бэкдор для систем Windows

Такой набор позволяет атакующим работать в смешанных инфраструктурах, которые типичны для телеком‑операторов.

Showboat: модульный инструмент для Linux

Showboat предназначен для систем Linux и используется после первоначального взлома. По сути это модульный набор инструментов для управления уже скомпрометированными серверами.

По данным исследователей, вредоносное ПО может:

• запускать удалённую командную оболочку (remote shell);
• передавать файлы между заражённой системой и инфраструктурой атакующих;
• работать как SOCKS5‑прокси, перенаправляя сетевой трафик через заражённый сервер.

Благодаря этому заражённые машины превращаются в промежуточные узлы, через которые можно скрытно перемещаться по внутренней сети оператора и маскировать активность.

JFMBackdoor: инструмент для Windows

Параллельно с Showboat используется JFMBackdoor — вредоносная программа для Windows‑систем. Она выполняет схожие задачи: поддерживает постоянный доступ к инфраструктуре и помогает продолжать разведывательную активность внутри корпоративных сетей операторов.

В телеком‑среде часто сочетаются Linux‑серверы, обслуживающие сетевые сервисы, и Windows‑системы, используемые для администрирования и бизнес‑процессов. Использование вредоносных программ для обеих платформ делает атаку значительно устойчивее: даже если одна часть инфраструктуры будет очищена, злоумышленники могут сохранить доступ через другую.

Домены‑двойники и инфраструктура под видом телеком‑компаний

Исследователи также обнаружили, что операторы кампании создавали домены, стилизованные под телекоммуникационные компании, и использовали их как часть своей инфраструктуры.

Такие ресурсы могли выполнять несколько задач:

• имитировать легитимные сервисы телеком‑отрасли;
• служить серверами управления и контроля (command‑and‑control);
• помогать в дальнейших этапах проникновения и сборе учетных данных.

Хотя полный список доменов и конкретные жертвы не раскрываются публично, анализ инфраструктуры показывает, что злоумышленники сознательно маскировали свою деятельность под нормальный трафик телеком‑компаний.

Почему кроссплатформенные атаки особенно опасны

Телеком‑операторы обычно используют гибридные IT‑среды, где одновременно работают Linux‑серверы и Windows‑системы. Атака, рассчитанная сразу на две платформы, даёт злоумышленникам несколько преимуществ:

• устойчивость к обнаружению: удаление вредоносного ПО на одной платформе не закрывает доступ полностью;
• широкое перемещение внутри сети: можно переходить между административными и инфраструктурными системами;
• скрытность: заражённые серверы могут использоваться как прокси или ретрансляторы трафика.

Это делает такие операции особенно сложными для обнаружения и устранения.

Растущая угроза для глобальной телеком‑инфраструктуры

Кампания Calypso отражает более широкий тренд: государственно поддерживаемые группы всё чаще атакуют телекоммуникационные сети, поскольку они предоставляют доступ к важным коммуникационным данным и архитектуре инфраструктуры.

Долговременное присутствие в сетях операторов может дать злоумышленникам информацию о сетевых соединениях, технической инфраструктуре и коммуникационных метаданных. Для разведывательных служб такая информация имеет серьёзную стратегическую ценность.

Обнаружение вредоносных программ Showboat и JFMBackdoor показывает, что инструменты кибершпионажа становятся более универсальными и способны работать сразу в нескольких операционных средах — что значительно усложняет защиту критически важной телеком‑инфраструктуры.