SchwachstellenHackerangriffeMalware

Showboat: Chinesische APT-Gruppen nutzen Linux-Backdoor für Anschläge auf Telekommunikationsunternehmen

Von CyberDeutsch Redaktion
Showboat: Chinesische APT-Gruppen nutzen Linux-Backdoor für Anschläge auf Telekommunikationsunternehmen
Zusammenfassung

Chinesische staatlich unterstützte Hacker-Gruppen nutzen seit mindestens 2022 ein bislang unentdecktes Linux-Schadprogramm namens „Showboat" für umfangreiche Spionageaktivitäten gegen Telekommunikationsunternehmen in Zentralasien und darüber hinaus. Das Malware-Framework wurde nun von Sicherheitsforschern von Black Lotus Labs und PwC aufgedeckt und wird offenbar zwischen mehreren chinesischen Advanced Persistent Threat-Gruppen (APTs), insbesondere der Gruppe Calypso, ausgetauscht. Obwohl Showboat technisch relativ einfach konstruiert ist, gelang es dem Backdoor vier Jahre lang unentdeckt zu bleiben und dabei erhebliche geopolitische Informationen zu sammeln. Die Malware kann besonders in Telekommunikationsinfrastrukturen, die typischerweise auf Unix-basierten Systemen laufen, erheblichen Schaden anrichten, indem sie Geräte in lokalen Netzwerken infiltriert. Während deutsche Unternehmen und Behörden bislang nicht direkt als Ziele identifiziert wurden, demonstriert dieser Fall ein besorgniserregendes Muster chinesischer Cyber-Espionage-Taktiken, das auch europäische Telekommunikationsanbieter und kritische Infrastruktur gefährden könnte. Die Entdeckung unterstreicht die wachsende Bedrohung durch staatliche Cyber-Akteure und die Notwendigkeit verstärkter Sicherheitsmaßnahmen im Infrastrukturbereich.

Die Entdeckung von Showboat verdeutlicht eine beunruhigende Strategie: Chinesische APT-Gruppen teilen ihre Werkzeuge untereinander und testen diese zunächst in Märkten mit schwächerer Cybersicherheit, bevor sie sie gegen hochwertigere Ziele einsetzen. Das zeigt eine detaillierte Analyse von Black Lotus Labs und PricewaterhouseCoopers (PwC).

Showboat ist eine Linux-Post-Exploitation-Framework mit einer bemerkenswert einfachen, aber effektiven Funktionsweise. Seine Hauptstärke liegt in der Fähigkeit, Geräte in lokalen Netzwerken (LANs) zu scannen und zu infizieren — selbst solche, die nicht direkt mit dem Internet verbunden sind. Wie Danny Adamitis, Principal Information Security Engineer bei Black Lotus Labs, ausdrückt: „Wenn man diese Malware im eigenen Netzwerk findet, ist wahrscheinlich noch viel mehr Schlimmes im Netzwerk, und man hat gerade ein sehr langes Wochenende vor sich.”

Die meisten dokumentierten Anschläge zielten auf Infrastruktur in Afghanistan, Aserbaidschan und dem Nahost-Raum ab. PwC identifizierte die APT-Gruppe Calypso (auch als Red Lamassu bekannt) als primären Nutzer. Calypso operiert seit 2019 mit Fokus auf Länder mit weniger entwickelter Cybersecurity-Landschaft: Afghanistan, Kasachstan, die Türkei und Indien.

Showboat wird oft parallel zu einem Windows-Backdoor namens JFMBackdoor eingesetzt, was eine flexible Anpassung an verschiedene Zielumgebungen ermöglicht. Telekommunikationsunternehmen verwenden typischerweise Linux- und Unix-basierte Systeme — eine Schwachstelle, die Showboat gezielt ausnutzt.

Was überrascht: Die Malware ist nicht besonders sophistiziert. Sie nutzt keine exotischen Techniken wie die Kommunikationsverschleierung via ICMP-Pings (wie etwa BPFdoor) oder Living-off-the-Land-Taktiken. Stattdessen beweist Showboat, dass auch einfache Werkzeuge in schlecht gesicherten Umgebungen enormen Schaden anrichten können. Ryan English, Forscher bei Black Lotus Labs, deutet an, dass chinesische Akteure bewusst eine Strategie verfolgen: Sie testen Malware in virtuellen Umgebungen, führen dann begrenzte Feldversuche in weniger reifen Märkten durch und skalieren später, wenn sich der Erfolg bestätigt.

Für deutsche Unternehmen und Behörden ergibt sich eine wichtige Lektion: Linux-Infrastrukturen genießen oft nicht den gleichen Sicherheitsstatus wie Windows-Systeme, obwohl gerade in Kritischen Infrastrukturen Linux dominiert. Das BSI sollte Warnungen zu Showboat ausgeben und Betreiber von Telekommunikationsinfrastruktur zur Erhöhung ihrer Netzwerk-Monitoring-Kapazitäten auffordern.

Ähnliche Artikel