近期資安研究揭露了一款名為 Showboat 的 Linux 惡意軟體，該軟體自 2022 年起被用於針對中東地區電信供應商的間諜活動。對於工程師來說，這類攻擊最值得關注的不是單一的病毒程式，而是其背後的模組化設計以及攻擊者如何利用代理技術在內網中橫向移動。
Showboat 的核心定位是一個後滲透框架（Post-Exploitation Framework）。簡單來說，它不是用來突破第一道防線的工具，而是在攻擊者已經成功進入系統後，用來維持權限、控制主機並進一步擴張的工具包。其主要功能包含建立遠端 Shell（讓攻擊者能遠端下指令）、傳輸檔案，以及最關鍵的 SOCKS5 代理功能。
什麼是 SOCKS5 代理及其重要性
在企業網路環境中，大部分的伺服器都位於內網（LAN），並不直接對外開放網際網路存取。攻擊者即便攻破了一台對外開放的伺服器，也無法直接存取內網的其他機密主機。
Showboat 透過在受感染的 Linux 主機上建立 SOCKS5 代理伺服器，將這台主機變成一個跳板。攻擊者可以將自己的流量透過這個代理通道轉發，讓內網中的其他設備誤以為請求來自於這台受信任的內部主機。這讓攻擊者能夠繞過防火牆限制，對內網設備進行掃描與攻擊，達成橫向移動的目的。
隱匿技術與 C2 通訊機制
為了避免被系統管理員或監控工具發現，Showboat 採取了幾種典型的隱匿手段。首先，它具備類似 Rootkit 的能力，可以從系統的行程清單（Process List）中隱藏自己的存在，讓 ps 或 top 等指令看不到其運行狀態。
在與 C2 伺服器（Command and Control Server，即攻擊者的指令控制中心）通訊時，Showboat 並不直接傳送明文數據，而是將系統資訊進行加密並以 Base64 編碼，最後偽裝成 PNG 圖片檔案的欄位中傳回。這種將惡意流量偽裝成正常圖片檔案的技巧，能有效降低被網路入侵偵測系統（IDS）攔截的機率。此外，它還會從 Pastebin 等公開文字分享平台獲取特定的程式碼片段，用來動態調整其隱匿行為。
工具池化與數位軍火庫
從威脅情報分析來看，Showboat 展現了典型的中國關聯駭客組織特徵，即資源池化（Resource Pooling）。研究發現，Showboat 與 PlugX、ShadowPad 等知名工具被多個不同的攻擊群組共用。
這意味著這些組織背後可能存在一個數位軍火庫（Digital Quartermaster），由專門的開發團隊研發通用工具，再分發給不同的作戰單位使用。這種模式提高了攻擊效率，因為各個小組不需要重複開發基礎的後門工具，而能專注於針對特定目標的漏洞利用。
攻擊鏈的完整路徑
雖然 Showboat 的進入路徑尚未完全確定，但分析其關聯組織 Calypso 的過往手法，常見的攻擊鏈包括利用 ASPX Web Shell（一種上傳至伺服器的後門腳本）或利用 Microsoft Exchange Server 的 ProxyLogon 漏洞（CVE-2021-26855）來獲取初始存取權限。
在針對電信業的攻擊中，除了 Linux 端的 Showboat，攻擊者還部署了名為 JFMBackdoor 的 Windows 植入物。該工具利用 DLL Side-loading（DLL 側載，一種利用合法程式載入惡意 DLL 檔案的技巧）來繞過安全軟體的偵測，實現截圖、遠端 Shell 與檔案操作等功能。
總結與實務啟示
Showboat 的案例提醒我們，單純依賴邊界防火牆是不夠的。當攻擊者一旦建立 SOCKS5 代理跳板，內網的信任關係將變成最大的漏洞。對於維運工程師而言，應加強對內部流量的異常監控（例如不尋常的內部代理流量），並定期檢查系統行程是否存在異常隱匿現象，而非僅僅依賴對外端口的關閉。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。