Un gruppo di spionaggio ha compromesso apparecchiature all'interno di operatori mobili asiatici per dirottare chiamate e SMS di abbonati selezionati. Le intercettazioni riuscite di SMS sono state osservate soprattutto ai danni di bersagli a Taiwan, ha dichiarato Enea in un rapporto ripreso da The Hacker News il 13 novembre. Per alcuni bersagli, Enea ha osservato codici di autenticazione a due fattori intercettati subito dopo il dirottamento, un segnale di tentativi di accedere agli account registrati a nome di quelle persone.
L'azienda di software per telecomunicazioni e cybersicurezza con sede a Stoccolma ha assegnato al gruppo il nome SilentAir questa settimana e ha individuato fonti di attacco in almeno sei Paesi asiatici. Ha valutato con alta confidenza che il gruppo sia un attore a livello statale, attribuendo invece una bassa confidenza a un possibile legame con la Cina.
Tra i bersagli figuravano personalità politiche e governative di alto profilo nei rispettivi Paesi. Al di fuori di Taiwan, la maggior parte erano abbonati di altre reti del Sudest e dell'Asia orientale, con episodi occasionali in Africa orientale, Asia centrale, Medio Oriente ed Europa. Anche gli abbonati degli operatori compromessi potrebbero essere stati presi di mira, ma Enea non disponeva di visibilità su quel traffico.
Enea ha informato gli operatori che ospitavano le fonti degli attacchi e ha dichiarato che SilentAir è stato al momento disattivato, anche se potrebbe tornare. Non è chiaro se tali operatori abbiano rimosso le apparecchiature compromesse.
Come funzionavano i dirottamenti
Gli operatori mobili si scambiano messaggi di segnalazione — le istruzioni usate per instradare chiamate e SMS e per supportare il roaming — tramite protocolli chiamati SS7 e Diameter. Questi messaggi attraversano l'IPX, una rete condivisa basata su una fiducia considerevole tra gli operatori. SilentAir ha usato apparecchiature interne agli operatori compromessi per inviare attacchi in quella rete.
Per intercettare le comunicazioni, il gruppo inviava alla rete di origine dell'abbonato un messaggio SS7 UpdateLocation, o il suo equivalente Diameter, sostenendo che l'apparecchiatura compromessa stesse ora servendo il telefono di quella persona. Se la rete di origine accettava la dichiarazione, avrebbe reindirizzato chiamate e SMS agli aggressori.
Enea ha osservato intercettazioni riuscite di SMS, compresi i codici di autenticazione, sebbene non abbia riportato prove comparabili di chiamate vocali intercettate né accessi confermati agli account. L'intercettazione rappresentava il 18,3% degli attacchi SilentAir osservati, contro il 2,1% di una tipica società di sorveglianza nelle ricerche precedenti di Enea. Tali società sono responsabili della maggior parte degli attacchi di segnalazione.
L'attività si presentava a ondate, da uno o pochi abbonati fino a diverse migliaia nell'arco di un mese, separate da pause di diversi mesi o più. In rari casi, apparecchiature in più Paesi si sono coordinate contro bersagli politici o governativi, cosa che Enea ha interpretato come indizio di un unico controllore.
Enea ha iniziato a monitorare attacchi insoliti all'inizio del 2025, per lo più tramite SS7 e occasionalmente Diameter, provenienti da operatori asiatici che normalmente non avrebbero generato tale attività. Analisi successive hanno portato alla luce attività sospetta precedente. Il rapporto non nomina né i Paesi e gli operatori che ospitano le apparecchiature, né i singoli bersagli; in alcuni Paesi erano compromessi più operatori.
I ricercatori hanno inizialmente considerato due spiegazioni per la gestione incoerente dei messaggi di follow-up da parte delle reti: un soggetto esterno che falsificava gli indirizzi di segnalazione, oppure apparecchiature compromesse all'interno di ciascuna rete. Hanno poi osservato un'apparecchiatura di un operatore che inviava e riceveva comandi di attacco. Il suo comportamento corrispondeva a quello delle fonti SilentAir altrove, confermando la spiegazione della compromissione interna.
La familiarità degli aggressori con le reti mobili e con le difese della segnalazione ha inizialmente reso difficili il rilevamento e il blocco. Dopo aver contenuto gli attacchi, Enea ha recuperato tracce di accesso non autorizzato, ma non è stato in grado di analizzare il malware che ritiene abbia usato il gruppo.
Gli SMS silenziosi verificavano l'accesso
SilentAir ha inviato anche SMS silenziosi su scala molto ampia, soprattutto ad abbonati taiwanesi. Questi messaggi non producono alcuna visualizzazione né avviso sul telefono del destinatario.
Di giorno, la maggior parte è stata inviata ad abbonati di altre reti, incluse quelle del Sudest asiatico. Enea ritiene che un uso principale fosse verificare se un dirottamento avesse avuto successo: un messaggio di prova che arrivasse alle apparecchiature compromesse invece che al telefono dell'abbonato confermerebbe che gli aggressori ricevevano i messaggi della persona.
La maggior parte degli SMS silenziosi è stata inviata di notte, e la maggior parte di questi aveva come bersaglio Taiwan. Il loro scopo non è stato confermato, ma Enea ha ipotizzato che potessero essere controlli in blocco per verificare che i dirottamenti precedenti fossero ancora attivi, dato che di notte è meno probabile che i telefoni registrino di nuovo la loro posizione reale.
I messaggi contenevano testi motivazionali o promozionali simili allo spam, spesso in inglese. Enea ritiene che ciò servisse da copertura nel caso in cui un operatore avesse rimosso l'impostazione silenziosa durante il transito, facendo sembrare un messaggio visibile il normale spam.
Il legame con la Cina resta incerto
La valutazione di Enea, a bassa confidenza, sulla Cina si basa in parte sul focus di SilentAir su Taiwan e sul fatto che eviti reti e abbonati cinesi. Anche le attività di tracciamento e intercettazione seguivano una giornata lavorativa UTC+8, in linea con l'ora standard cinese: gli attacchi iniziavano alle 9:00, quasi si fermavano nei fine settimana e si interrompevano o rallentavano in prossimità delle festività cinesi.
L'azienda ha considerato un possibile legame con Liminal Panda, un gruppo associato a precedenti intrusioni nel settore delle telecomunicazioni, ma considera tale legame non confermato. L'attività di SilentAir si è sovrapposta a infezioni note di Liminal Panda presso diversi operatori, mentre in altri momenti non c'era alcun segno di coordinamento. Entrambi prendevano di mira operatori della stessa area dell'Asia, sebbene Liminal Panda non sia noto per un focus su Taiwan.
Alcuni comportamenti di SilentAir ricordavano anche SCTPE, un trojan Linux poco noto che viene eseguito nel kernel del sistema operativo e invia e riceve traffico SS7 e Diameter. L'Infocomm Media Development Authority di Singapore ha descritto lo stesso strumento come SIGweaver in un avviso governativo, affermando che CrowdStrike lo ha individuato il 21 gennaio e lo ha collegato a Liminal Panda con confidenza moderata.
Tuttavia, SilentAir ha risposto a messaggi che non aveva inviato essa stessa, cosa che il programma SCTPE noto non può fare. Enea ha inoltre giudicato la sicurezza operativa di SilentAir sensibilmente migliore di quella di Liminal Panda.
Separatamente, Enea ha dichiarato che il suo firewall GTP ha rilevato attività di Liminal Panda presso diversi operatori clienti a partire dal primo trimestre del 2026. Ha bloccato traffico GTPDoor e ha osservato infezioni, o forti indizi di infezioni, in almeno da cinque a dieci operatori.
GTPDoor, documentato per la prima volta il 27 febbraio 2024, nasconde comandi nel GTP-C, il protocollo usato per stabilire connessioni dati mobili tra reti. Enea ha inoltre trovato indizi di una nuova versione che usa GTP-U, che trasporta i dati degli utenti ed è più difficile da ispezionare. L'azienda ritiene che tale versione fornisca principalmente un canale di backup.
Gli operatori sono invitati a collegare le proprie difese
Enea ha avvertito che altri aggressori potrebbero riutilizzare queste tecniche. Le sue raccomandazioni si rivolgono agli operatori mobili: installare firewall sia per GTP-C sia per GTP-U e configurarli in modo da scambiare informazioni con i firewall SS7 e Diameter.
Secondo Enea, gli operatori dovrebbero inoltre andare oltre le raccomandazioni di base del settore sulla sicurezza della segnalazione, considerare l'intero IPX come non affidabile, rilevare gli attacchi di segnalazione all'interno delle proprie reti e collegare le difese della segnalazione alle più ampie operazioni di sicurezza IT.
