Компания Enea, специализирующаяся на программном обеспечении для телекоммуникаций и кибербезопасности, раскрыла активность новой группы угроз под названием SilentAir, которая соответствует уровню «государственных субъектов» (state-level actors). Эта группа использует передовые методы для взлома узлов сетей операторов мобильной связи, что позволяет ей перехватывать звонки и текстовые сообщения непосредственно изнутри сетевой инфраструктуры.
Механизм атаки и используемые технологии
В своих операциях SilentAir полагается на сигнальные атаки (Signaling attacks), в частности через протокол SS7, а иногда и через протокол Diameter. Контролируя сетевые узлы (Network Nodes) операторов связи, группа перенаправляет входящие звонки и текстовые сообщения целевых лиц через скомпрометированные узлы, что позволяет ей:
- Перехват данных: сбор сведений об абонентах и содержимого коммуникаций.
- Отслеживание местоположения: мониторинг географического положения целей (хотя это составляет лишь малую часть их активности).
- Тихие сообщения: отправка «тихих» SMS (Silent SMS), которые не отображаются на телефоне пользователя; предполагается, что они используются для подтверждения успешности предыдущих операций перехвата или для проверки состояния устройства.
Географический охват и цели
Согласно отчету Enea, основной целью этих атак является Тайвань. Тем не менее, скомпрометированные узлы были обнаружены как минимум в шести азиатских странах, а деятельность группы распространилась на страны Восточной Африки, Центральной Азии, Ближнего Востока и Европы. В список целей вошли высокопоставленные политические и правительственные деятели.
Компания Enea с «низкой степенью уверенности» предполагает, что деятельность SilentAir связана с китайскими операциями, основываясь на интенсивном фокусе на Тайване, отсутствии китайских целей в атаках и совпадении времени атак с рабочими часами в китайском часовом поясе.
Что меняет эта угроза?
Опасность SilentAir заключается в том, что она нацелена не на смартфоны напрямую через традиционное вредоносное ПО, а на «магистраль» связи. Этот тип атак делает крайне сложным для обычного пользователя или даже систем безопасности на устройстве обнаружение шпионажа, поскольку процесс перехвата происходит на уровне сетевой инфраструктуры до того, как сигнал достигает телефона.
Возможные связи с группировкой Liminal Panda
В отчете также упоминается активность другой группы под названием Liminal Panda, которая, как зафиксировала Enea, использовала сеть межсетевого взаимодействия (IPX), используемую операторами связи для обмена трафиком. Был обнаружен бэкдор, известный как GTPDoor, связанный с этой группой, при этом были зафиксированы сотни попыток подключения к серверам управления и контроля. Несмотря на отсутствие окончательных доказательств, Enea указывает на возможную связь между SilentAir и Liminal Panda.