Eine Spionagegruppe hat Ausrüstung in asiatischen Mobilfunkbetreibern kompromittiert, um ausgewählte Anrufe und SMS von Teilnehmern umzuleiten. Erfolgreiches Abfangen von SMS wurde vor allem bei Zielen in Taiwan beobachtet, wie Enea in einem Bericht, über den The Hacker News berichtete am 13. November mitteilte. Bei einigen Zielen beobachtete Enea, dass Codes zur Zwei-Faktor-Authentifizierung unmittelbar nach der Umleitung abgefangen wurden, was auf Versuche hindeutet, sich in auf diese Personen registrierte Konten einzuloggen.
Das in Stockholm ansässige Unternehmen für Telekommunikations- und Cybersicherheitssoftware nannte die Gruppe diese Woche SilentAir und identifizierte Angriffsquellen in mindestens sechs asiatischen Ländern. Es stufte mit hoher Sicherheit ein, dass es sich bei der Gruppe um einen staatlich gesteuerten Akteur handelt. Eine mögliche Verbindung zu China stufte es dagegen nur mit geringer Sicherheit ein.
Zu den Zielen gehörten hochrangige Politiker und Regierungsvertreter in ihren jeweiligen Ländern. Außerhalb Taiwans waren die meisten Teilnehmer in anderen südost- und ostasiatischen Netzen. Vereinzelt wurden auch Ziele in Ostafrika, Zentralasien, im Nahen Osten und in Europa angegriffen. Auch Teilnehmer der kompromittierten Betreiber könnten im Visier gestanden haben, doch Enea hatte keine Einsicht in diesen Datenverkehr.
Enea hat die Betreiber informiert, in deren Netzen die Angriffsquellen lagen. Das Unternehmen erklärte, SilentAir sei vorerst gestört, könne aber zurückkehren. Ob diese Betreiber die kompromittierte Ausrüstung entfernt haben, ist unklar.
Wie die Umleitungen funktionierten
Mobilfunkbetreiber tauschen Signalisierungsnachrichten aus, also Anweisungen zur Weiterleitung von Anrufen und SMS sowie zur Unterstützung des Roamings, und zwar über die Protokolle SS7 und Diameter. Diese Nachrichten laufen über das IPX, ein gemeinsames Netz, das auf einem beträchtlichen Vertrauen zwischen den Betreibern beruht. SilentAir nutzte Ausrüstung in kompromittierten Betreibern, um Angriffe in dieses Netz einzuspeisen.
Um Kommunikation abzufangen, schickte die Gruppe dem Heimatnetz eines Teilnehmers eine SS7-Nachricht vom Typ UpdateLocation oder das Diameter-Äquivalent. Darin behauptete sie, die kompromittierte Ausrüstung bediene nun das Telefon dieser Person. Akzeptierte das Heimatnetz diese Behauptung, leitete es Anrufe und SMS an die Angreifer um.
Enea beobachtete erfolgreiches Abfangen von SMS, darunter Authentifizierungscodes. Vergleichbare Belege für abgefangene Sprachanrufe oder bestätigte Kontoübernahmen meldete das Unternehmen jedoch nicht. Das Abfangen machte 18,3 % der beobachteten SilentAir-Angriffe aus. Zum Vergleich: In einer früheren Untersuchung von Enea lag der Wert bei 2,1 % für ein typisches Überwachungsunternehmen. Solche Unternehmen sind für den Großteil der Signalisierungsangriffe verantwortlich.
Die Aktivität trat in Schüben auf. Sie reichte von einem oder wenigen Teilnehmern bis zu mehreren Tausend innerhalb eines Monats. Dazwischen lagen Pausen von mehreren Monaten oder länger. In seltenen Fällen stimmte Ausrüstung in mehreren Ländern das Vorgehen gegen politische oder staatliche Ziele ab. Enea wertete dies als Hinweis auf eine einzige steuernde Stelle.
Enea begann Anfang 2025, ungewöhnliche Angriffe zu verfolgen. Sie liefen meist über SS7, teilweise über Diameter, und gingen von asiatischen Betreibern aus, die solche Aktivitäten normalerweise nicht verursachen. Spätere Analysen förderten frühere verdächtige Aktivitäten zutage. Der Bericht nennt weder die Länder und Betreiber, in deren Netzen die Ausrüstung steht, noch einzelne Ziele. In einigen Ländern waren mehrere Betreiber kompromittiert.
Die Forscher zogen zunächst zwei Erklärungen für den uneinheitlichen Umgang der Netze mit Folgenachrichten in Betracht. Entweder fälschte ein Außenstehender deren Signalisierungsadressen, oder in jedem Netz steckte kompromittierte Ausrüstung. Anschließend beobachteten sie Ausrüstung innerhalb eines Betreibers, die sowohl Angriffsbefehle sendete als auch empfing. Ihr Verhalten entsprach den SilentAir-Quellen an anderen Orten und bestätigte die Erklärung einer internen Kompromittierung.
Das Wissen der Angreifer über Mobilfunknetze und Signalisierungsschutz erschwerte zunächst Erkennung und Blockade. Nach der Eindämmung der Angriffe fand Enea Spuren unbefugten Zugriffs. Die Schadsoftware, von der das Unternehmen annimmt, dass die Gruppe sie einsetzte, konnte Enea jedoch nicht analysieren.
Stille SMS prüften den Zugriff
SilentAir verschickte außerdem in sehr großem Umfang stille SMS, vor allem an Teilnehmer in Taiwan. Diese Nachrichten erzeugen auf dem Telefon des Empfängers keine Anzeige und keinen Alarm.
Tagsüber gingen die meisten an Teilnehmer in anderen Netzen, darunter Netze in Südostasien. Enea hält es für einen wesentlichen Zweck, zu prüfen, ob eine Umleitung funktioniert hatte. Eine Testnachricht, die statt auf dem Telefon des Teilnehmers bei der kompromittierten Ausrüstung ankommt, würde bestätigen, dass die Angreifer die SMS der Person erhielten.
Die meisten stillen Nachrichten wurden nachts verschickt, und die meisten davon zielten auf Taiwan. Ihr Zweck ist nicht bestätigt. Enea hielt es jedoch für möglich, dass es sich um Massenprüfungen handelte, ob frühere Umleitungen noch aktiv sind. Telefone registrieren über Nacht am ehesten nicht erneut ihren tatsächlichen Standort.
Die Nachrichten enthielten spamartige motivierende oder werbliche Texte, häufig auf Englisch. Enea hält dies für eine Tarnung. Falls ein Betreiber die Stillschaltung während der Übertragung entfernt, sieht eine sichtbare Nachricht wie gewöhnlicher Spam aus.
Die China-Verbindung bleibt vage
Die Einschätzung Eneas zu China beruht mit geringer Sicherheit teilweise darauf, dass sich SilentAir auf Taiwan konzentriert und chinesische Netze und Teilnehmer meidet. Auch die Überwachungs- und Abfangaktivität folgte einem Arbeitstag in UTC+8, also der chinesischen Standardzeit. Die Angriffe begannen um 9 Uhr, kamen an Wochenenden fast zum Erliegen und pausierten oder verlangsamten sich um chinesische Feiertage.
Das Unternehmen prüfte eine mögliche Verbindung zu Liminal Panda, einer Gruppe, die mit früheren Einbrüchen in Telekommunikationsnetze in Verbindung gebracht wird. Es hält diese Verbindung jedoch für nicht bestätigt. Die Aktivität von SilentAir überschnitt sich bei mehreren Betreibern mit bekannten Infektionen durch Liminal Panda. Zu anderen Zeiten gab es keine Anzeichen einer Koordination. Beide Gruppen hatten Betreiber im selben Teil Asiens im Visier, obwohl Liminal Panda nach bisherigem Kenntnisstand keinen Schwerpunkt in Taiwan hat.
Einige Verhaltensweisen von SilentAir ähnelten zudem SCTPE, einem wenig bekannten Linux-Trojaner. Dieser läuft im Kernel des Betriebssystems und sendet und empfängt SS7- und Diameter-Datenverkehr. Die singapurische Infocomm Media Development Authority beschrieb dasselbe Werkzeug in einer staatlichen Warnmeldung als SIGweaver. Darin hieß es, CrowdStrike habe es am 21. Januar identifiziert und mit mittlerer Sicherheit Liminal Panda zugeordnet.
SilentAir reagierte jedoch auf Nachrichten, die es nicht selbst gesendet hatte. Das kann das bekannte SCTPE-Programm nicht. Enea stufte die operative Sicherheit von SilentAir außerdem deutlich besser ein als die von Liminal Panda.
Davon unabhängig erklärte Enea, seine GTP-Firewall habe seit dem ersten Quartal 2026 bei mehreren Kundenbetreibern Aktivitäten von Liminal Panda erkannt. Sie habe GTPDoor-Datenverkehr blockiert und in mindestens fünf bis zehn Betreibern Infektionen oder starke Hinweise darauf beobachtet.
GTPDoor, erstmals am 27. Februar 2024 dokumentiert, verbirgt Befehle in GTP-C. Dieses Protokoll dient dazu, Mobilfunkdatenverbindungen zwischen Netzen aufzubauen. Enea fand außerdem Hinweise auf eine neue Version, die GTP-U nutzt. Dieses Protokoll transportiert die Nutzerdaten und ist schwerer zu prüfen. Das Unternehmen glaubt, dass diese Version vor allem als Ausweichkanal dient.
Betreiber sollen ihre Abwehr verknüpfen
Enea warnte, andere Angreifer könnten diese Techniken wiederverwenden. Die Empfehlungen richten sich an Mobilfunkbetreiber. Sie sollen Firewalls sowohl für GTP-C als auch für GTP-U einsetzen und diese so konfigurieren, dass sie Informationen mit SS7- und Diameter-Firewalls austauschen.
Betreiber sollten zudem über die grundlegenden branchenüblichen Empfehlungen zur Signalisierungssicherheit hinausgehen. Sie sollten das gesamte IPX als nicht vertrauenswürdig behandeln, Signalisierungsangriffe innerhalb ihrer eigenen Netze erkennen und die Signalisierungsabwehr mit ihrem übergreifenden IT-Sicherheitsbetrieb verbinden, so Enea.
