Introduzione
La campagna di attacchi informatici nota come Showboat, attribuita a hackers cinesi, ha colpito le telecomunicazioni del Medio Oriente senza essere fermata da 201 arresti. La velocità di risposta delle forze dell'ordine è ancora troppo lenta rispetto alla capacità degli aggressori di persistere senza essere rilevati.
La campagna Showboat
La campagna Showboat ha iniziato a colpire le telecomunicazioni del Medio Oriente a metà del 2022, utilizzando un backdoor modulare per Linux che consente l'accesso remoto, il trasferimento di file e la creazione di proxy SOCKS5. Il counterpart per Windows, noto come JFMBackdoor, estende la portata della campagna. Entrambi gli implant sono allineati con le tecniche di spionaggio informatico cinesi, che utilizzano tecniche di stealth per persistere senza essere rilevati.
La risposta delle forze dell'ordine
L'operazione Ramz ha portato a 201 arresti in 13 paesi del Medio Oriente e del Nord Africa, ma la campagna Showboat è continuata fino alla sua divulgazione. Ciò riflette una lacuna sistemica: la velocità di risposta delle forze dell'ordine è ancora troppo lenta rispetto alla capacità degli aggressori di persistere senza essere rilevati. Il rapporto Mandiant M-Trends 2026 segnala che la durata media di un attacco di spionaggio è di 122 giorni, mentre le campagne BRICKSTORM superano i 400 giorni.
La realtà difensiva
Per contrastare la campagna Showboat, è necessario mappare tutti i sistemi Linux che affrontano internet e che eseguono infrastrutture di telecomunicazione, aggiornandoli o isolandoli entro 72 ore. È anche necessario auditare la creazione di proxy SOCKS5 e il tunneling in uscita nei log di netflow, poiché l'82% degli attacchi nel 2025 non ha utilizzato malware. Inoltre, è necessario assumere che la violazione sia già avvenuta e distribuire token di inganno sui segmenti di rete critici per rilevare i movimenti laterali prima dell'encryptazione.
Conclusioni
La campagna Showboat dimostra che gli arresti non sono sufficienti a fermare gli attacchi informatici. La velocità di risposta delle forze dell'ordine deve essere accelerata per contrastare la capacità degli aggressori di persistere senza essere rilevati. La realtà difensiva richiede una maggiore attenzione alla mappatura dei sistemi, all'audit delle attività di rete e all'assunzione di una violazione già avvenuta.