La empresa Enea, especializada en software de telecomunicaciones y ciberseguridad, ha revelado la actividad de un nuevo grupo de amenazas llamado SilentAir, que sigue el nivel de los "actores vinculados a estados" (state-level actors). Este grupo emplea técnicas sofisticadas para infiltrarse en los nodos de las redes de los operadores de telefonía móvil, lo que le permite interceptar llamadas y mensajes de texto directamente desde el interior de la infraestructura de la red.
Mecanismo de ataque y técnicas utilizadas
SilentAir basa sus operaciones en la ejecución de ataques a través de protocolos de señalización (Signaling attacks), específicamente mediante el protocolo SS7 y, en ocasiones, a través del protocolo Diameter. Al tomar el control de los nodos de red (Network Nodes) de los operadores de telecomunicaciones, el grupo redirige las llamadas y los mensajes de texto entrantes de los objetivos a través de los nodos comprometidos, lo que le permite:
- Interceptar datos: Recopilar detalles de los suscriptores y el contenido de las comunicaciones.
- Rastreo de ubicación: Monitorear las ubicaciones geográficas de los objetivos (aunque esto representa una pequeña parte de su actividad).
- Mensajes silenciosos: Enviar mensajes de texto silenciosos (Silent SMS) que no aparecen en el teléfono del usuario, los cuales se cree que se utilizan para confirmar el éxito de operaciones de intercepción previas o para verificar el estado del dispositivo.
Alcance geográfico y objetivos
Según el informe de Enea, Taiwán es el objetivo principal de estos ataques. Sin embargo, se han detectado nodos comprometidos en al menos seis países asiáticos, y las actividades del grupo se han extendido para incluir países en África Oriental, Asia Central, Oriente Medio y Europa. La lista de objetivos ha incluido figuras políticas y gubernamentales de alto nivel.
Enea sugiere, con "baja confianza", que las actividades de SilentAir podrían estar vinculadas a operaciones chinas, basándose en el intenso enfoque en Taiwán, la ausencia de objetivos chinos en los ataques y la coincidencia del horario de los ataques con las horas de trabajo en la zona horaria de China.
¿Qué cambia con esta amenaza?
La peligrosidad de SilentAir radica en que no apunta directamente a los dispositivos inteligentes (Smartphones) mediante malware tradicional, sino que ataca la "columna vertebral" de las telecomunicaciones. Este tipo de ataques hace que sea muy difícil para el usuario promedio, o incluso para los sistemas de seguridad del dispositivo, detectar el espionaje, ya que el proceso de intercepción ocurre en la capa de infraestructura de la red antes de que la señal llegue al teléfono.
Posibles vínculos con el grupo Liminal Panda
El informe también señaló la actividad de otro grupo llamado Liminal Panda, cuya explotación de la red de interconexión (IPX) utilizada por los operadores de telecomunicaciones para intercambiar tráfico fue detectada por Enea. Se descubrió un software de puerta trasera conocido como GTPDoor vinculado a este grupo, donde se observaron cientos de intentos de conexión con servidores de comando y control. Aunque no existen pruebas concluyentes, Enea indica la posibilidad de una conexión entre SilentAir y Liminal Panda.