Calypso 黑客行動滲透電訊商：Linux 與 Windows 雙平台惡意程式曝光

網絡安全研究人員最近揭露，一個與中國有關的黑客組織 Calypso（亦被追蹤為 Red Lamassu）正進行一項長期網絡間諜行動，專門針對電訊公司。這個行動至少由 2022 年年中開始，受害者主要分布於 亞太地區及中東。攻擊者利用針對 Linux 與 Windows 的兩款新型惡意程式，在電訊網絡中建立長期潛伏點並收集情報。

安全研究指，這類行動屬於典型的 APT（Advanced Persistent Threat，高階持續性威脅）。目標並非即時破壞系統，而是悄悄滲透網絡並長期保持存取權，以便進行情報蒐集。

長期滲透電訊基建

調查顯示，攻擊者首先在目標電訊網絡中取得初始存取權，之後部署自訂惡意工具以擴大控制範圍並維持持續存取。

研究人員在這次行動中識別出兩個此前未公開的惡意程式家族：

• Showboat：針對 Linux 的後滲透框架
• JFMBackdoor：針對 Windows 的後門程式

由於電訊基礎設施通常同時使用 Linux 伺服器與 Windows 管理系統，這種雙平台工具組合令攻擊者可以在不同系統之間自由移動。

Showboat：Linux 後滲透工具

Showboat 是一個專為 Linux 設計的模組化後滲透框架。換句話說，它通常在攻擊者已經成功入侵後才會部署，用來加強控制與擴展攻擊範圍。

研究顯示，它具備多種功能，包括：

• 建立 遠端 shell，讓攻擊者直接操控被入侵系統
• 在攻擊者基礎設施與受害伺服器之間 傳輸檔案
• 充當 SOCKS5 代理伺服器，把受害主機變成流量轉發節點

透過這些能力，被攻陷的伺服器可以變成「跳板」，協助黑客在網絡內部 橫向移動，並隱藏真正的攻擊來源。

JFMBackdoor：Windows 版本植入程式

與 Showboat 相對應的，是針對 Windows 系統的 JFMBackdoor。

這個工具主要在企業管理系統或工作站環境中運作。當電訊公司同時運行 Linux 與 Windows 系統時，攻擊者便可在兩個平台上同時維持控制權。

這意味著即使其中一個平台的惡意程式被偵測並清除，另一個平台仍可能保留入侵者的存取權，從而延續整個間諜行動。

目前公開資料對 JFMBackdoor 的技術細節仍有限，但研究已確認它在這次行動中扮演持久化與情報收集的角色。

偽裝成電訊機構的網域與基礎設施

除了惡意程式本身，研究人員還發現攻擊者建立了一批 與電訊業相關的偽裝網域與基礎設施。

這些資源可能用於多個目的：

• 偽裝成合法電訊組織以提高可信度
• 作為 指揮與控制（Command‑and‑Control） 伺服器
• 協助後續入侵或憑證收集

透過與電訊業相關的名稱或結構，這些網域更容易在目標網絡中「混入正常流量」，增加偵測難度。

為何跨平台攻擊對電訊業特別危險

電訊公司通常擁有非常複雜的 IT 與網絡架構，例如：

• Linux 伺服器運行核心網絡服務
• Windows 系統負責企業管理與行政平台

當惡意程式同時支援兩個平台時，攻擊者可以：

• 提高持久性：清除一個系統的惡意程式仍未必能驅逐入侵者
• 擴大橫向移動能力：在營運系統與企業系統之間穿梭
• 隱藏通信活動：利用受感染主機作代理節點

對電訊產業而言，長期入侵的風險特別高。因為一旦攻擊者滲透核心網絡，理論上可能獲得對 通信元數據、網絡架構或關鍵運作資訊 的觀察能力。

電訊基建成為網絡間諜焦點

這次 Calypso 行動反映一個更大的趨勢：國家級或國家關聯黑客愈來愈集中攻擊 電訊與通信基礎設施。

與一次性數據外洩不同，這類行動通常以 長期潛伏與情報蒐集 為目標。透過跨平台工具與高度偽裝的基礎設施，攻擊者能在網絡中停留更長時間，也更難被完全清除。

Showboat 與 JFMBackdoor 的出現，正好展示了攻擊工具如何進一步演化，以適應複雜且高度關鍵的全球電訊網絡環境。