통신 소프트웨어 및 사이버 보안 전문 기업인 Enea는 SilentAir라고 불리는 새로운 위협 그룹의 활동을 공개했으며, 이들은 '국가급 행위자(state-level actors)' 수준의 역량을 갖추고 있습니다. 이 그룹은 모바일 통신 사업자의 네트워크 노드를 해킹하는 정교한 기술을 사용하여 네트워크 인프라 내부에서 직접 통화와 문자 메시지를 가로챕니다.
공격 메커니즘 및 사용 기술
SilentAir는 운영 과정에서 신호 공격(Signaling attacks), 특히 SS7 프로토콜과 때로는 Diameter 프로토콜을 사용합니다. 통신 사업자의 네트워크 노드(Network Nodes)를 장악함으로써, 이 그룹은 해킹된 노드를 통해 대상자에게 오는 통화와 문자 메시지를 우회시켜 다음을 수행할 수 있습니다:
- 데이터 가로채기: 가입자 세부 정보 및 통신 내용 수집.
- 위치 추적: 대상의 지리적 위치 모니터링(활동의 작은 부분에 해당).
- 사일런트 메시지: 사용자 휴대폰에 표시되지 않는 사일런트 SMS(Silent SMS)를 전송하며, 이는 이전 가로채기 작업의 성공 여부를 확인하거나 기기 상태를 점검하는 데 사용되는 것으로 추정됩니다.
지리적 범위 및 대상
Enea 보고서에 따르면 대만이 이러한 공격의 주요 대상입니다. 그러나 최소 6개 아시아 국가에서 해킹된 노드가 발견되었으며, 그룹의 활동은 동아프리카, 중앙아시아, 중동 및 유럽 국가들로 확장되었습니다. 대상 목록에는 고위 정치인 및 정부 관계자가 포함되어 있습니다.
Enea는 대만에 대한 집중적인 공격, 중국 내 공격 대상의 부재, 공격 시간이 중국 표준시의 업무 시간과 일치한다는 점을 근거로 SilentAir의 활동이 중국의 작전과 관련이 있을 가능성을 '낮은 신뢰도'로 제시했습니다.
이 위협이 변화시키는 것
SilentAir의 위험성은 기존의 악성 코드를 통해 스마트폰(Smartphones)을 직접 공격하는 것이 아니라 통신망의 '중추'를 겨냥한다는 점에 있습니다. 이러한 유형의 공격은 신호가 휴대폰에 도달하기 전 네트워크 인프라 계층에서 가로채기가 발생하기 때문에 일반 사용자나 기기 보안 시스템이 스파이 활동을 감지하기 매우 어렵게 만듭니다.
Liminal Panda 그룹과의 잠재적 연관성
보고서는 또한 통신 사업자가 트래픽 교환을 위해 사용하는 IPX(IP eXchange) 네트워크를 악용하는 Liminal Panda라는 또 다른 그룹의 활동을 지적했습니다. 이 그룹과 관련된 GTPDoor라는 백도어 소프트웨어가 발견되었으며, 명령 및 제어 서버에 연결하려는 수백 건의 시도가 포착되었습니다. 결정적인 증거는 없지만, Enea는 SilentAir와 Liminal Panda 사이에 연관성이 있을 가능성을 시사했습니다.