A Enea, empresa especializada em software de telecomunicações e segurança cibernética, revelou a atividade de um novo grupo de ameaças chamado SilentAir, que segue o padrão de "atores ligados a estados" (state-level actors). Este grupo utiliza técnicas sofisticadas para comprometer nós de redes de operadoras móveis, permitindo-lhes interceptar chamadas e mensagens de texto diretamente de dentro da infraestrutura da rede.
Mecanismo de ataque e técnicas utilizadas
A SilentAir baseia as suas operações em ataques através de protocolos de sinalização (Signaling attacks), especificamente através do protocolo SS7 e, por vezes, através do protocolo Diameter. Ao controlar nós de rede (Network Nodes) de operadoras de telecomunicações, o grupo redireciona chamadas e mensagens de texto recebidas pelos alvos através dos nós comprometidos, o que lhes permite:
- Interceção de dados: Recolha de detalhes dos assinantes e conteúdo das comunicações.
- Rastreamento de localização: Monitorização das localizações geográficas dos alvos (embora isto represente uma pequena parte da sua atividade).
- Mensagens silenciosas: Envio de mensagens de texto silenciosas (Silent SMS) que não aparecem no telemóvel do utilizador, e que se acredita serem utilizadas para confirmar o sucesso de operações de interceção anteriores ou para verificar o estado do dispositivo.
Âmbito geográfico e alvos
De acordo com o relatório da Enea, Taiwan é o principal alvo destes ataques. No entanto, foram detetados nós comprometidos em pelo menos seis países asiáticos, e as atividades do grupo estenderam-se a países na África Oriental, Ásia Central, Médio Oriente e Europa. A lista de alvos incluiu figuras políticas e governamentais de alto nível.
A Enea sugere, com "baixa confiança", que as atividades da SilentAir estão ligadas a operações chinesas, baseando-se no foco intenso em Taiwan, na ausência de alvos chineses nos ataques e na sincronização do horário dos ataques com as horas de trabalho no fuso horário da China.
O que muda com esta ameaça?
A gravidade da SilentAir reside no facto de não visar diretamente dispositivos inteligentes (Smartphones) através de software malicioso tradicional, mas sim a "espinha dorsal" das comunicações. Este tipo de ataque torna muito difícil para o utilizador comum ou mesmo para os sistemas de segurança do dispositivo detetar a espionagem, uma vez que o processo de interceção ocorre na camada de infraestrutura da rede antes de o sinal chegar ao telemóvel.
Possíveis ligações com o grupo Liminal Panda
O relatório também apontou a atividade de outro grupo chamado Liminal Panda, que a Enea observou a explorar a rede de interconexão (IPX) utilizada pelas operadoras de telecomunicações para trocar tráfego. Foi descoberto um software de backdoor conhecido como GTPDoor associado a este grupo, tendo sido detetadas centenas de tentativas de ligação a servidores de comando e controlo. Embora não existam provas conclusivas, a Enea indica a possibilidade de uma ligação entre a SilentAir e o Liminal Panda.