Недавно выявленная шпионская группа использовала взломанное оборудование внутри азиатских мобильных операторов для перехвата звонков и текстовых сообщений выбранных лиц, в основном на Тайване. Компания Enea, занимающаяся разработкой программного обеспечения для телекоммуникаций и кибербезопасности со штаб-квартирой в Стокгольме, обнаружила источники атак группы как минимум в шести азиатских странах и на этой неделе назвала ее SilentAir. Компания с высокой степенью уверенности оценила, что SilentAir является актором государственного уровня, но лишь с низкой степенью уверенности связала ее деятельность с Китаем.
Компания уведомила операторов, где были обнаружены источники SilentAir. Она заявила, что деятельность SilentAir на данный момент пресечена, но группа может вернуться. В отчете не указано, устранили ли эти операторы взломанное оборудование.
Мобильные операторы используют протоколы SS7 и Diameter для обмена сигнальными сообщениями, которые маршрутизируют звонки и текстовые сообщения, а также обеспечивают роуминг. Этот трафик проходит через общую сеть под названием IPX, которая работает на высоком уровне доверия между операторами. SilentAir направляла свои атаки в IPX со взломанного оборудования.
Для перехвата SilentAir отправляла домашней сети целевого абонента сообщение UpdateLocation или его эквивалент в Diameter. Сообщение утверждало, что взломанное оборудование теперь обслуживает телефон целевого абонента. Если домашняя сеть принимала его, звонки и текстовые сообщения для этого человека перенаправлялись злоумышленникам.
Некоторые из этих атак увенчались успехом. В отношении некоторых целей компания наблюдала перехват кодов двухфакторной аутентификации (2FA) сразу после вступления в силу перенаправления. Это указывает на попытку взлома других учетных записей, зарегистрированных на этих лиц.
В отчете не приводится аналогичных доказательств для голосовых вызовов, и не указано, были ли предприняты какие-либо захваты учетных записей. Перехват составил 18,3% атак, которые компания видела со стороны SilentAir. Для типичной компании, занимающейся слежкой, — типа фирмы, стоящей за большинством сигнальных атак, — эта доля составляла 2,1% в предыдущих исследованиях компании.
Некоторые цели были политическими и правительственными VIP-персонами в их странах. В редких случаях оборудование SilentAir в нескольких странах работало совместно против таких целей, что, по словам компании, указывает на единого контроллера. Атаки происходили всплесками: от одного или нескольких абонентов до нескольких тысяч в течение месяца, с перерывами до нескольких месяцев или дольше между всплесками.
За пределами Тайваня цели в основном находились в других сетях Юго-Восточной и Восточной Азии, а также временами в Восточной Африке, Центральной Азии, на Ближнем Востоке и в Европе. Люди, использующие собственные сети взломанных операторов, также могли быть целью, но компания не могла видеть этот трафик.
Компания обнаружила SilentAir, изучая атаки на каналы связи между операторами. С начала 2025 года она отслеживала необычные атаки, в основном по SS7 и иногда по Diameter, исходящие от некоторых азиатских операторов, которые обычно не отправляли атаки. Последующий анализ выявил подозрительную активность еще раньше.
Сети, на которых размещалась SilentAir, обрабатывали последующие сообщения для перенаправленных целей странным и непоследовательным образом, согласно техническому отчету компании. Это оставляло два объяснения: либо кто-то извне подделывал адреса сигнализации этих сетей, либо оборудование внутри каждой сети было взломано. Затем компания увидела, как оборудование внутри одного оператора отправляет и получает команды атаки, что подтвердило второе объяснение. Это оборудование вело себя точно так же, как источники SilentAir в других сетях.
Обнаружение и блокирование атак поначалу было затруднено, поскольку злоумышленники хорошо разбирались в мобильных сетях и системах защиты сигнализации. После того как атаки были локализованы, компания обнаружила следы несанкционированного доступа. Проанализировать вредоносное ПО, которое, по мнению компании, использовала SilentAir, не удалось.
В отчете не названы страны, операторы или какие-либо из целей. В некоторых странах атаки SilentAir исходили от более чем одного оператора.
SilentAir также в очень больших масштабах отправляла “тихие” SMS, в основном абонентам на Тайване. Это текстовые сообщения, которые телефон не отображает и на которые не выдает уведомлений. В дневное время большинство “тихих” SMS отправлялось абонентам других сетей, например, сетей Юго-Восточной Азии. Одно из их основных назначений, по-видимому, заключалось в проверке того, сработало ли перенаправление, заявила компания. Если тестовое сообщение достигало взломанного оборудования вместо телефона, злоумышленники знали, что получают текстовые сообщения этого человека.
Большинство “тихих” SMS отправлялось ночью, и большинство из них предназначалось для людей на Тайване. Компания заявила, что назначение этих сообщений не подтверждено. Они могут быть массовой проверкой того, остались ли прежние перенаправления в силе, поскольку ночью телефоны с наименьшей вероятностью перерегистрируются в своем реальном местоположении. “Тихие” текстовые сообщения содержали спамоподобные мотивационные или рекламные строки, часто на английском языке. Компания считает, что текст служил маскировкой. Если оператор по пути удалял “тихий” статус сообщения, получатель воспринимал бы его как спам и игнорировал.
Связь с Китаем, которую компания оценила с низкой степенью уверенности, основана на нескольких признаках. SilentAir сосредоточилась на Тайване и не нацеливалась на китайские сети или абонентов. Ее атаки по отслеживанию и перехвату также соответствовали рабочему дню по UTC+8, что соответствует китайскому стандартному времени. Они начинались в 9 утра, почти прекращались по выходным и приостанавливались или замедлялись во время китайских праздников.
Компания также рассматривала связь с Liminal Panda, группой, стоящей за предыдущими вторжениями в телекоммуникационные сети. Она назвала эту связь возможной, но неподтвержденной и пока не связывает эти две группы. Во многих взломанных операторах атаки SilentAir происходили во время известного заражения Liminal Panda. В другое время эти две группы не проявляли признаков совместной работы. Они также нацеливались на операторов в той же части Азии, хотя Liminal Panda не имеет известной направленности на Тайвань.
Поведение SilentAir также частично совпадает с поведением SCTPE, малоизвестного трояна для Linux, который работает в ядре и предназначен для отправки и получения трафика SS7 и Diameter. Управление инфокоммуникаций и медиа Сингапура (IMDA) описало тот же инструмент в правительственном уведомлении. Там этот инструмент называется SIGweaver. Агентство заявило, что CrowdStrike идентифицировало его 21 января и с умеренной уверенностью связывает с Liminal Panda.
Однако Enea заявила, что SilentAir отвечала на сообщения, которые она сама не отправляла, чего известная программа SCTPE делать не может. Операционная безопасность SilentAir также казалась намного лучше, чем у Liminal Panda.
Отдельно межсетевой экран компании для GTP обнаружил активность Liminal Panda у нескольких операторов-клиентов с первого квартала этого года. Компания заблокировала там трафик GTPDoor группы и обнаружила заражения Liminal Panda, или их явные признаки, как минимум у 5–10 операторов.
Бэкдор GTPDoor, впервые задокументированный 27 февраля 2024 года, скрывает команды в GTP-C, протоколе, который устанавливает мобильные соединения для передачи данных между сетями. Компания также обнаружила доказательства новой версии, которая скрывает команды в GTP-U, части GTP, которая передает пользовательские данные. Трафик GTP-U сложнее инспектировать, хотя компания считает, что новая версия в основном служит резервной копией.
Компания заявила, что любой злоумышленник может повторно использовать эти методы, и посоветовала операторам:
Отчет не содержит рекомендаций для лиц, чьи звонки и текстовые сообщения могли быть целью.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
