Minulý týden zveřejnily bezpečnostní týmy Lumen Technologies Black Lotus Labs a PwC Threat Intelligence zprávu o malwaru, který dostali přezdívku Showboat. Kampaň cílí na telekomunikační operátory v Asii, Pacifiku a na Blízkém východě a běží nejméně od poloviny roku 2022. Tři roky pod radarem. Přitom sample byl nahrán na VirusTotal v květnu 2025 s nulovou detekcí a zůstal nedetekován dalších skoro dvanáct měsíců.
Showboat sám o sobě není nijak revoluční malware. Zajímavý je kontext, ve kterém operuje a co o čínském přístupu ke kyberešpionáži vypovídá.
Co Showboat dělá
Technicky jde o modulární post-exploitation framework pro Linux. To znamená, že se nenasadí při průniku o počáteční přístup se postarají jiné nástroje nebo metody. Showboat nastupuje ve chvíli, kdy útočník už v síti je a potřebuje si v ní udělat pohodlí.
Framework umí tři základní věci: spustit vzdálený shell, přenášet soubory tam a zpět, a fungovat jako SOCKS5 proxy. Ta třetí funkce je klíčová. Proxy umožňuje útočníkovi dosáhnout na interní síťová zařízení, která nejsou přímo přístupná z internetu zálohovací systémy, síťové prvky, servery bez veřejné IP adresy. Jakmile je Showboat aktivní, útočník má tunel dovnitř sítě.
Pro ukrytí malware načítá část svého kódu z Pastebin legitimní služby, jejíž provoz málokdo blokuje nebo monitoruje. Technika označovaná jako living off trusted sites funguje právě proto, že útočník nevytváří vlastní podezřelou infrastrukturu, ale parazituje na důvěryhodných platformách. Komunikaci s C2 serverem skrývá do PNG souborů jako zašifrovaný Base64 řetězec.
Oběťmi jsou zatím potvrzeny ISP v Afghánistánu a entita v Ázerbájdžánu. Potenciální kompromitace byly detekovány také v USA a na Ukrajině.
Proč jsou telekomunikační firmy cílem
Telco infrastruktura je z pohledu zpravodajských služeb mimořádně hodnotný cíl a to z jednoho prostého důvodu: kdo kontroluje síť, kontroluje komunikaci.
Telefonní operátoři a ISP jsou přirozeným průchozím bodem pro obrovský objem dat. Přístup do jejich infrastruktury neznamená jen krádež interních dat operátora znamená potenciální přístup k metadatům a provozu jejich zákazníků. To zahrnuje vládní instituce, armádu, diplomatické mise nebo průmyslové podniky, které jsou na dané síti závislé.
Zároveň platí, že Linux servery v telco prostředí mají historicky horší bezpečnostní pokrytí než Windows prostředí. Endpoint detection and response (EDR) nástroje se tradičně vyvíjely primárně pro Windows. Linux varianta přišla pozdě, nasazení je méně konzistentní a bezpečnostní týmy mají s detekci na Linuxu méně zkušeností. Útočníci to vědí.
Digital Quartermaster: proč Čína sdílí nástroje
Tady se dostáváme k jádru věci. Showboat není nástrojem jedné skupiny. Výzkumníci identifikovali jeho použití napříč více čínskými APT skupinami Calypso (alias Red Lamassu) je jedna z nich, ale telemetrie naznačuje i další aktéry.
Tento model má v čínském státním hackingu dlouhou tradici. Stejný přístup sdílení toolingu byl zdokumentován u PlugX, ShadowPad nebo NosyDoor. Výzkumníci pro tuto strukturu používají termín „digital quartermaster“ centrální entita, která zásobuje více operativních skupin stejnými nástroji a infrastrukturou.
Proč to Čína dělá? Existují přinejmenším tři důvody.
Za prvé ekonomika vývoje: vytvoření sofistikovaného malwaru stojí čas a peníze. Sdílení nástroje mezi deseti skupinami je efektivnější než aby každá vyvíjela vlastní.
Za druhé znesnadnění atribuce: když stejný malware použije pět různých skupin cílících na různé regiony a odvětví, analytikům se dramaticky ztíží určení, kdo za konkrétním útokem stojí. Otisk nástroje přestává být spolehlivým atribučním indikátorem.
Za třetí rychlé nasazení: nová skupina nebo nová kampaň nemusí čekat na vývoj vlastního toolingu dostane prověřenou sadu nástrojů a může operovat okamžitě.
Tento model je v kontrastu s například ruským přístupem, kde mají jednotlivé skupiny (Cozy Bear, Fancy Bear, Sandworm) výrazně odlišné a proprietární toolsety. Čínský přístup je byrokratičtější a z pohledu obrany paradoxně obtížnější k neutralizaci, protože eliminace jedné skupiny neznamená eliminaci nástroje.
Co z toho plyne
Pro bezpečnostní týmy z toho plynou dva praktické závěry.
Detekce musí pokrývat Linux stejně vážně jako Windows. Showboat rok přežíval bez detekce i proto, že linuxové servery bývají mimo zorné pole EDR nástrojů a SIEM pravidel. Monitoring odchozí komunikace, anomálie v process listu nebo nečekaná spojení na Pastebin to jsou indikátory, které vyžadují aktivní konfiguraci, nespadnou z nebe.
Atribuci je potřeba brát s rezervou. Fakt, že útok využívá konkrétní malware, ještě neříká, kdo za ním stojí. Sdílení toolingu napříč skupinami záměrně zatemňuje stopu. CTI analytici to vědí ale ve zprávách pro management se tento nuance snadno ztrácí.
Showboat sám o sobě pravděpodobně nikoho v českém SMB prostředí nezasáhne. Ale model, který reprezentuje trpělivá, dlouhodobá přítomnost v síti, sdílení nástrojů mezi státními aktéry, exploitace linuxové infrastruktury to je trend, který nikam nemizí.
Zdroje:
Lumen Black Lotus Labs (primární report): https://www.lumen.com/blog/en-us/introducing-showboat-a-new-malware-family-taunts-defenses-and-targets-international-telecom-firms
The Hacker News: https://thehackernews.com/2026/05/showboat-linux-malware-hits-middle-east.html
Bleeping Computer: https://www.bleepingcomputer.com/news/security/chinese-hackers-target-telcos-with-new-linux-windows-malware/
Dark Reading: https://www.darkreading.com/threat-intelligence/chinese-apts-linux-backdoor-telco-attacks
SC Media: https://www.scworld.com/brief/new-linux-malware-showboat-targets-middle-east-telecom-provider
