Un groupe d'espionnage a compromis des équipements au sein d'opérateurs mobiles asiatiques pour détourner les appels et les SMS de certains abonnés. Selon Enea, les interceptions de SMS réussies ont été observées principalement contre des cibles à Taïwan, dans un rapport repris par The Hacker News publié le 13 novembre. Pour certaines cibles, Enea a observé l'interception de codes d'authentification à deux facteurs immédiatement après le détournement, ce qui laisse penser à des tentatives d'accès aux comptes enregistrés au nom de ces personnes.
La société de logiciels de télécommunications et de cybersécurité basée à Stockholm a baptisé ce groupe SilentAir cette semaine. Elle a identifié des sources d'attaque dans au moins six pays d'Asie. Elle estime avec un niveau de confiance élevé que le groupe est un acteur étatique, tout en accordant un faible niveau de confiance à un éventuel lien avec la Chine.
Les cibles comprenaient des personnalités politiques et gouvernementales de haut rang dans leurs propres pays. Hors de Taïwan, la plupart étaient des abonnés d'autres réseaux d'Asie du Sud-Est et d'Asie de l'Est, avec des ciblages occasionnels en Afrique de l'Est, en Asie centrale, au Moyen-Orient et en Europe. Des abonnés des opérateurs compromis ont peut-être aussi été ciblés, mais Enea n'avait pas de visibilité sur ce trafic.
Enea a informé les opérateurs hébergeant les sources d'attaque et a indiqué que SilentAir est pour l'instant neutralisé, même s'il pourrait revenir. On ignore si ces opérateurs ont retiré les équipements compromis.
Comment fonctionnaient les détournements
Les opérateurs mobiles échangent des messages de signalisation, c'est-à-dire les instructions servant à acheminer appels et SMS et à assurer l'itinérance, via les protocoles SS7 et Diameter. Ces messages transitent par l'IPX, un réseau partagé qui repose sur une grande confiance entre opérateurs. SilentAir a utilisé des équipements situés à l'intérieur d'opérateurs compromis pour envoyer des attaques dans ce réseau.
Pour intercepter les communications, le groupe envoyait au réseau d'origine d'un abonné un message SS7 UpdateLocation, ou son équivalent Diameter, affirmant que l'équipement compromis desservait désormais le téléphone de cette personne. Si le réseau d'origine acceptait cette affirmation, il redirigeait appels et SMS vers les attaquants.
Enea a observé des interceptions de SMS réussies, y compris de codes d'authentification. En revanche, elle n'a signalé aucune preuve comparable d'appels vocaux interceptés, ni de prises de contrôle de comptes confirmées. L'interception représentait 18,3 % des attaques de SilentAir observées par Enea, contre 2,1 % pour une entreprise de surveillance type dans ses travaux antérieurs. Ces entreprises sont à l'origine de la plupart des attaques de signalisation.
L'activité procédait par vagues, touchant d'un à quelques abonnés, voire plusieurs milliers sur un mois, avec des pauses de plusieurs mois ou plus entre elles. Dans de rares cas, des équipements situés dans plusieurs pays ont agi de concert contre des cibles politiques ou gouvernementales, ce qu'Enea interprète comme la preuve d'un contrôleur unique.
Enea a commencé à suivre, au début de 2025, des attaques inhabituelles, surtout via SS7 et parfois via Diameter, provenant d'opérateurs asiatiques qui n'auraient normalement pas généré ce type d'activité. Une analyse ultérieure a mis au jour une activité suspecte antérieure. Le rapport ne nomme ni les pays ni les opérateurs hébergeant les équipements, ni les cibles individuelles. Certains pays comptaient plusieurs opérateurs compromis.
Les chercheurs ont d'abord envisagé deux explications aux traitements incohérents des messages de suivi par les réseaux : un tiers falsifiant leurs adresses de signalisation, ou des équipements compromis à l'intérieur de chaque réseau. Ils ont ensuite constaté qu'un équipement d'un même opérateur envoyait et recevait des commandes d'attaque. Son comportement correspondait aux sources SilentAir observées ailleurs, ce qui confirmait l'hypothèse d'une compromission interne.
La connaissance qu'avaient les attaquants des réseaux mobiles et des défenses de signalisation a d'abord compliqué la détection et le blocage. Après avoir contenu les attaques, Enea a retrouvé des traces d'accès non autorisés, mais n'a pas pu analyser le malware que, selon elle, le groupe utilisait.
Des SMS silencieux pour vérifier les accès
SilentAir a aussi envoyé des SMS silencieux à très grande échelle, principalement à des abonnés taïwanais. Ces messages ne s'affichent pas et ne déclenchent aucune alerte sur le téléphone du destinataire.
Pendant la journée, la plupart étaient envoyés à des abonnés d'autres réseaux, dont des réseaux d'Asie du Sud-Est. Enea pense que l'un des usages principaux était de vérifier qu'un détournement avait réussi : un message test arrivant sur l'équipement compromis plutôt que sur le téléphone de l'abonné confirmerait que les attaquants recevaient les SMS de la personne.
La plupart des SMS silencieux étaient envoyés la nuit, et la plupart de ceux-ci visaient Taïwan. Leur objectif reste non confirmé, mais Enea suggère qu'il pourrait s'agir de vérifications en masse pour s'assurer que les détournements antérieurs étaient toujours actifs, les téléphones étant moins susceptibles de réenregistrer leur position réelle pendant la nuit.
Les messages contenaient des textes de type spam, à caractère motivationnel ou promotionnel, souvent en anglais. Selon Enea, cela servait de couverture si un opérateur supprimait le paramètre de silence en transit, ce qui faisait passer un message visible pour un spam ordinaire.
Un lien avec la Chine encore incertain
L'hypothèse chinoise, retenue avec un faible niveau de confiance, repose en partie sur l'accent mis par SilentAir sur Taïwan et sur son évitement des réseaux et des abonnés chinois. L'activité de suivi et d'interception suivait aussi une journée de travail en UTC+8, correspondant à l'heure de Chine : les attaques commençaient à 9 h, s'arrêtaient presque le week-end et ralentissaient ou s'interrompaient autour des jours fériés chinois.
La société a envisagé un lien possible avec Liminal Panda, groupe associé à des intrusions télécoms antérieures, mais considère ce lien comme non confirmé. L'activité de SilentAir chevauchait des infections connues de Liminal Panda chez plusieurs opérateurs, tandis qu'à d'autres moments rien n'indiquait une coordination. Les deux groupes ciblaient des opérateurs de la même région d'Asie, bien que Liminal Panda n'ait pas d'intérêt connu pour Taïwan.
Certains comportements de SilentAir ressemblaient aussi à ceux de SCTPE, un cheval de Troie Linux peu connu qui s'exécute dans le noyau du système d'exploitation et envoie et reçoit du trafic SS7 et Diameter. Dans un avis gouvernemental, l'Infocomm Media Development Authority, l'agence singapourienne, a décrit le même outil sous le nom de SIGweaver. Elle indiquait que CrowdStrike l'avait identifié le 21 janvier et l'avait relié à Liminal Panda avec un niveau de confiance modéré.
Toutefois, SilentAir répondait à des messages qu'il n'avait pas lui-même envoyés, ce que le programme SCTPE connu ne peut pas faire. Enea juge en outre la sécurité opérationnelle de SilentAir nettement meilleure que celle de Liminal Panda.
Par ailleurs, Enea indique que son pare-feu GTP a détecté une activité de Liminal Panda chez plusieurs opérateurs clients depuis le premier trimestre 2026. Il a bloqué du trafic GTPDoor et observé des infections, ou de forts indices d'infections, chez au moins cinq à dix opérateurs.
GTPDoor, documenté pour la première fois le 27 février 2024, dissimule des commandes dans GTP-C, le protocole utilisé pour établir les connexions de données mobiles entre réseaux. Enea a aussi trouvé des indices d'une nouvelle version utilisant GTP-U, qui transporte les données des utilisateurs et est plus difficile à inspecter. La société pense que cette version sert surtout de canal de secours.
Les opérateurs appelés à relier leurs défenses
Enea met en garde : d'autres attaquants pourraient réutiliser ces techniques. Ses recommandations s'adressent aux opérateurs mobiles. Elles préconisent de déployer des pare-feu pour GTP-C comme pour GTP-U, et de les configurer pour échanger des informations avec les pare-feu SS7 et Diameter.
Les opérateurs devraient aussi aller au-delà des recommandations sectorielles de base en matière de sécurité de la signalisation, considérer l'ensemble de l'IPX comme non fiable, détecter les attaques de signalisation au sein de leurs propres réseaux et relier leurs défenses de signalisation à leurs opérations de sécurité informatique plus larges, selon Enea.
