Das auf Telekommunikationssoftware und Cybersicherheit spezialisierte Unternehmen Enea hat die Aktivitäten einer neuen Bedrohungsgruppe namens SilentAir aufgedeckt, die dem Niveau von staatlich gelenkten Akteuren (state-level actors) zugeordnet wird. Diese Gruppe setzt hochentwickelte Techniken ein, um die Netzknoten von Mobilfunkbetreibern zu infiltrieren, was es ihr ermöglicht, Anrufe und Textnachrichten direkt aus der Netzwerkinfrastruktur heraus abzufangen.
Angriffsmechanismus und verwendete Techniken
SilentAir stützt sich bei seinen Operationen auf Signalisierungsangriffe (Signaling attacks), insbesondere über das SS7-Protokoll und teilweise über das Diameter-Protokoll. Durch die Kontrolle über Netzknoten (Network Nodes) bei Telekommunikationsbetreibern leitet die Gruppe eingehende Anrufe und Textnachrichten der Zielpersonen über die kompromittierten Knoten um, was ihr Folgendes ermöglicht:
- Datenabfang: Sammlung von Teilnehmerdetails und Inhalten der Kommunikation.
- Standortverfolgung: Überwachung der geografischen Standorte der Ziele (obwohl dies nur einen kleinen Teil ihrer Aktivitäten ausmacht).
- Stille Nachrichten: Versand von stillen Textnachrichten (Silent SMS), die auf dem Telefon des Benutzers nicht erscheinen. Es wird angenommen, dass diese verwendet werden, um den Erfolg früherer Abfangoperationen zu bestätigen oder den Status des Geräts zu überprüfen.
Geografische Reichweite und Zielpersonen
Laut dem Enea-Bericht ist Taiwan das Hauptziel dieser Angriffe. Dennoch wurden kompromittierte Knoten in mindestens sechs asiatischen Ländern festgestellt, und die Aktivitäten der Gruppe erstreckten sich auch auf Länder in Ostafrika, Zentralasien, dem Nahen Osten und Europa. Die Liste der Zielpersonen umfasste hochrangige politische und staatliche Persönlichkeiten.
Enea vermutet mit "geringem Vertrauensgrad", dass die Aktivitäten von SilentAir mit chinesischen Operationen in Verbindung stehen. Dies stützt sich auf den intensiven Fokus auf Taiwan, das Fehlen chinesischer Ziele bei den Angriffen und die zeitliche Übereinstimmung der Angriffe mit den Arbeitszeiten in der chinesischen Zeitzone.
Was ändert diese Bedrohung?
Die Gefahr von SilentAir liegt darin, dass sie nicht direkt Smartphones durch herkömmliche Schadsoftware angreift, sondern das "Rückgrat" der Kommunikation ins Visier nimmt. Diese Art von Angriffen macht es für den durchschnittlichen Benutzer oder sogar für Sicherheitssysteme auf dem Gerät sehr schwierig, die Spionage zu erkennen, da der Abfangvorgang auf der Ebene der Netzwerkinfrastruktur stattfindet, bevor das Signal das Telefon erreicht.
Mögliche Verbindungen zur Gruppe Liminal Panda
Der Bericht wies auch auf die Aktivitäten einer anderen Gruppe namens Liminal Panda hin, bei der Enea die Ausnutzung des IPX-Netzwerks (IPX) beobachtete, das von Telekommunikationsbetreibern für den Austausch von Datenverkehr genutzt wird. Es wurde eine Backdoor-Software namens GTPDoor entdeckt, die mit dieser Gruppe in Verbindung steht, wobei Hunderte von Verbindungsversuchen zu Befehls- und Kontrollservern registriert wurden. Obwohl es keine schlüssigen Beweise gibt, deutet Enea auf eine mögliche Verbindung zwischen SilentAir und Liminal Panda hin.