Un grupo de espionaje ha comprometido equipos dentro de operadores móviles asiáticos para desviar llamadas y mensajes de abonados seleccionados. Según Enea, en un informe recogido por The Hacker News publicado el 13 de noviembre, la interceptación exitosa de SMS se ha observado sobre todo contra objetivos en Taiwán. En algunos objetivos, Enea observó que los códigos de autenticación de dos factores se interceptaban inmediatamente después de la desviación, lo que apunta a intentos de acceder a cuentas registradas a nombre de esas personas.
La empresa de software de telecomunicaciones y ciberseguridad con sede en Estocolmo bautizó esta semana al grupo como SilentAir e identificó fuentes de ataque en al menos seis países asiáticos. Evaluó con alta confianza que el grupo es un actor de nivel estatal, mientras que asignó baja confianza a una posible conexión con China.
Los objetivos incluían a VIP políticos y gubernamentales de sus propios países. Fuera de Taiwán, la mayoría eran abonados de otras redes del sudeste y este de Asia, con casos ocasionales en África oriental, Asia central, Oriente Medio y Europa. Es posible que también se haya atacado a abonados de los operadores comprometidos, pero Enea no tuvo visibilidad sobre ese tráfico.
Enea notificó a los operadores que alojaban las fuentes de ataque y afirmó que SilentAir ha sido interrumpido por ahora, aunque podría volver. No está claro si esos operadores han eliminado los equipos comprometidos.
Cómo funcionaban las desviaciones
Los operadores móviles intercambian mensajes de señalización —las instrucciones que se usan para enrutar llamadas y SMS y dar soporte al roaming— mediante protocolos llamados SS7 y Diameter. Estos mensajes atraviesan el IPX, una red compartida que se basa en una confianza considerable entre operadores. SilentAir usó equipos dentro de operadores comprometidos para lanzar ataques contra esa red.
Para interceptar comunicaciones, el grupo envió a la red local de un abonado un mensaje SS7 UpdateLocation, o su equivalente en Diameter, afirmando que el equipo comprometido estaba ahora dando servicio al teléfono de esa persona. Si la red local aceptaba esa afirmación, redirigía llamadas y SMS a los atacantes.
Enea observó interceptación exitosa de SMS, incluidos códigos de autenticación, aunque no reportó pruebas comparables de interceptación de llamadas de voz ni toma de control confirmada de cuentas. La interceptación representó el 18,3 % de los ataques de SilentAir observados, frente al 2,1 % de una empresa de vigilancia típica en la investigación anterior de Enea. Estas empresas son responsables de la mayoría de los ataques de señalización.
La actividad llegó en ráfagas, desde uno o unos pocos abonados hasta varios miles en un mes, separadas por pausas de varios meses o más. En casos excepcionales, equipos de varios países se coordinaron contra objetivos políticos o gubernamentales, lo que Enea interpretó como indicio de un único controlador.
Enea empezó a rastrear ataques inusuales a principios de 2025, principalmente por SS7 y en ocasiones por Diameter, originados en operadores asiáticos que normalmente no generarían esa actividad. Un análisis posterior descubrió actividad sospechosa anterior. El informe no nombra los países ni los operadores que alojan los equipos, ni los objetivos individuales. Algunos países tenían más de un operador comprometido.
Los investigadores consideraron inicialmente dos explicaciones para el manejo inconsistente de los mensajes de seguimiento por parte de las redes: que alguien externo falsificara sus direcciones de señalización, o que hubiera equipos comprometidos dentro de cada red. Después observaron que los equipos de un operador enviaban y recibían comandos de ataque. Su comportamiento coincidía con el de las fuentes de SilentAir en otros lugares, lo que confirmó la explicación del compromiso interno.
El conocimiento de los atacantes sobre redes móviles y defensas de señalización dificultó inicialmente la detección y el bloqueo. Tras contener los ataques, Enea recuperó rastros de acceso no autorizado, pero no pudo analizar el malware que, según cree, usaba el grupo.
Los SMS silenciosos verificaban el acceso
SilentAir también envió SMS silenciosos a una escala muy grande, principalmente a abonados taiwaneses. Estos mensajes no producen ninguna notificación ni alerta en el teléfono del destinatario.
Durante el día, la mayoría se envió a abonados de otras redes, incluidas redes del sudeste asiático. Enea cree que un uso principal era comprobar si una desviación había funcionado: un mensaje de prueba que llegara al equipo comprometido en lugar de al teléfono del abonado confirmaría que los atacantes recibían los mensajes de esa persona.
La mayoría de los SMS silenciosos se enviaron de noche, y la mayor parte de ellos tenía como objetivo Taiwán. Su propósito sigue sin confirmarse, pero Enea sugirió que podrían ser comprobaciones masivas de que las desviaciones anteriores seguían activas, porque de noche es menos probable que los teléfonos vuelvan a registrar su ubicación real.
Los mensajes contenían texto de tipo spam, motivacional o promocional, a menudo en inglés. Enea cree que esto servía de cobertura en caso de que un operador eliminara el ajuste de silencio en tránsito, de modo que un mensaje visible pareciera spam común.
El vínculo con China sigue siendo provisional
La evaluación de baja confianza de Enea sobre China se basa en parte en el enfoque de SilentAir en Taiwán y en que evita las redes y los abonados chinos. La actividad de rastreo e interceptación también siguió una jornada laboral en UTC+8, coincidente con la hora estándar de China: los ataques comenzaban a las 9 de la mañana, casi se detenían los fines de semana y se pausaban o ralentizaban en torno a los festivos chinos.
La empresa consideró una posible conexión con Liminal Panda, un grupo asociado a intrusiones anteriores en telecomunicaciones, pero considera que esa conexión no está confirmada. La actividad de SilentAir coincidió con infecciones conocidas de Liminal Panda en varios operadores, mientras que en otros momentos no hubo indicios de coordinación. Ambos atacaron operadores de la misma zona de Asia, aunque Liminal Panda no tiene un enfoque conocido en Taiwán.
Parte del comportamiento de SilentAir también se parecía al de SCTPE, un troyano de Linux poco conocido que se ejecuta en el kernel del sistema operativo y envía y recibe tráfico SS7 y Diameter. La Infocomm Media Development Authority de Singapur describió la misma herramienta como SIGweaver en un aviso oficial. Señaló que CrowdStrike la identificó el 21 de enero y la vinculó con Liminal Panda con confianza moderada.
Sin embargo, SilentAir respondió a mensajes que no había enviado por sí mismo, algo que el programa SCTPE conocido no puede hacer. Enea también juzgó que la seguridad operativa de SilentAir era sustancialmente mejor que la de Liminal Panda.
Por separado, Enea afirmó que su cortafuegos GTP ha detectado actividad de Liminal Panda en varios operadores clientes desde el primer trimestre de 2026. Bloqueó tráfico de GTPDoor y observó infecciones, o fuertes indicios de ellas, en al menos entre cinco y diez operadores.
GTPDoor, documentado por primera vez el 27 de febrero de 2024, oculta comandos en GTP-C, el protocolo que se usa para establecer conexiones de datos móviles entre redes. Enea también encontró pruebas de una nueva versión que usa GTP-U, que transporta los datos de los usuarios y es más difícil de inspeccionar. La empresa cree que esa versión sirve principalmente como canal de respaldo.
Se insta a los operadores a conectar sus defensas
Enea advirtió de que otros atacantes podrían reutilizar estas técnicas. Sus recomendaciones se dirigen a los operadores móviles: desplegar cortafuegos para GTP-C y GTP-U, y configurarlos para intercambiar información con cortafuegos de SS7 y Diameter.
Según Enea, los operadores también deberían ir más allá de las recomendaciones básicas del sector sobre seguridad de señalización, tratar todo el IPX como no confiable, detectar ataques de señalización dentro de sus propias redes y conectar las defensas de señalización con sus operaciones de seguridad informática más amplias.
