La société Enea, spécialisée dans les logiciels de télécommunications et la cybersécurité, a révélé l'activité d'un nouveau groupe de menace nommé SilentAir, qui appartient au niveau des « acteurs étatiques » (state-level actors). Ce groupe utilise des techniques sophistiquées pour compromettre les nœuds des réseaux des opérateurs de téléphonie mobile, ce qui lui permet d'intercepter les appels et les SMS directement depuis l'infrastructure du réseau.
Mécanisme d'attaque et techniques utilisées
SilentAir s'appuie dans ses opérations sur le lancement d'attaques via des protocoles de signalisation (Signaling attacks), plus précisément via le protocole SS7, et parfois via le protocole Diameter. En prenant le contrôle des nœuds de réseau (Network Nodes) des opérateurs de télécommunications, le groupe redirige les appels et les SMS entrants destinés aux cibles via les nœuds compromis, ce qui lui permet de :
- Interception de données : collecter les détails des abonnés et le contenu des communications.
- Suivi de localisation : surveiller les positions géographiques des cibles (bien que cela ne représente qu'une petite partie de son activité).
- SMS silencieux : envoyer des SMS silencieux (Silent SMS) qui n'apparaissent pas sur le téléphone de l'utilisateur, et que l'on pense être utilisés pour confirmer le succès des interceptions précédentes ou pour vérifier l'état de l'appareil.
Portée géographique et cibles
Selon le rapport d'Enea, Taïwan est la cible principale de ces attaques. Cependant, des nœuds compromis ont été détectés dans au moins six pays asiatiques, et les activités du groupe se sont étendues à des pays d'Afrique de l'Est, d'Asie centrale, du Moyen-Orient et d'Europe. La liste des cibles comprenait des personnalités politiques et gouvernementales de haut niveau.
Enea estime, avec une « faible confiance », que les activités de SilentAir pourraient être liées à des opérations chinoises, en se basant sur la concentration intense sur Taïwan, l'absence de cibles chinoises dans les attaques, et la synchronisation du moment des attaques avec les heures de travail dans le fuseau horaire de la Chine.
Qu'est-ce qui change avec cette menace ?
La dangerosité de SilentAir réside dans le fait qu'elle ne cible pas directement les smartphones via des logiciels malveillants traditionnels, mais cible la « colonne vertébrale » des télécommunications. Ce type d'attaque rend l'espionnage très difficile à détecter pour l'utilisateur ordinaire ou même pour les systèmes de sécurité de l'appareil, car l'interception se produit au niveau de la couche d'infrastructure du réseau avant que le signal n'atteigne le téléphone.
Liens potentiels avec le groupe Liminal Panda
Le rapport a également mentionné l'activité d'un autre groupe nommé Liminal Panda, dont Enea a observé l'exploitation du réseau d'interconnexion (IPX) utilisé par les opérateurs de télécommunications pour échanger du trafic. Un logiciel malveillant connu sous le nom de GTPDoor a été découvert en relation avec ce groupe, où des centaines de tentatives de connexion à des serveurs de commande et de contrôle ont été détectées. Bien qu'il n'y ait pas de preuves concluantes, Enea suggère l'existence d'un lien potentiel entre SilentAir et Liminal Panda.