Um grupo de espionagem recém-identificado usou equipamentos invadidos dentro de operadoras móveis asiáticas para interceptar ligações e mensagens de pessoas selecionadas, principalmente em Taiwan.
Enea, empresa de software de telecomunicações e cibersegurança sediada em Estocolmo, encontrou as fontes de ataque do grupo em pelo menos seis países asiáticos e batizou-o de SilentAir nesta semana. A empresa avaliou com alta confiança que o SilentAir é um ator de nível estatal, mas associou sua atividade à China apenas com baixa confiança.
A empresa informou às operadoras onde encontrou as fontes do SilentAir. Segundo ela, o SilentAir foi interrompido por enquanto, mas pode voltar. O relatório não diz se essas operadoras já removeram os equipamentos invadidos.
Operadoras móveis usam os protocolos SS7 (Sistema de Sinalização nº 7) e Diameter para trocar mensagens de sinalização que encaminham ligações e SMS e permitem o roaming. Esse tráfego passa por uma rede compartilhada chamada IPX (troca de pacotes IP entre operadoras), que funciona com um alto nível de confiança entre as operadoras. O SilentAir enviou seus ataques para a IPX a partir dos equipamentos invadidos.
Para interceptar, o SilentAir enviou à rede doméstica do alvo uma mensagem UpdateLocation, ou seu equivalente Diameter. A mensagem afirmava que o equipamento invadido agora atendia o telefone do alvo. Se a rede doméstica aceitasse, as ligações e mensagens dessa pessoa seriam desviadas para os atacantes.
Alguns desses ataques funcionaram. Em alguns alvos, a empresa observou códigos de autenticação de dois fatores (2FA) sendo interceptados logo após o desvio entrar em vigor. Isso aponta para uma tentativa de invadir outras contas vinculadas a essas pessoas.
O relatório não traz evidências semelhantes para chamadas de voz e não diz se alguma conta foi assumida por invasores.
A interceptação representou 18,3% dos ataques que a empresa observou do SilentAir. Para uma empresa de vigilância típica, tipo de companhia por trás da maioria dos ataques de sinalização, a fatia foi de 2,1% em pesquisa anterior da empresa.
Alguns alvos eram figuras políticas e VIPs governamentais em seus próprios países. Em casos raros, equipamentos do SilentAir em vários países atuaram em conjunto contra esses alvos, o que, segundo a empresa, indica um único controlador.
Os ataques vieram em rajadas, de um ou alguns assinantes a vários milhares ao longo de um mês, com intervalos de até vários meses ou mais entre as rajadas.
Fora de Taiwan, os alvos estavam em sua maioria em outras redes do Sudeste e Leste Asiático e, em alguns casos, no Leste da África, na Ásia Central, no Oriente Médio e na Europa. Pessoas que usam as redes das operadoras invadidas também podem ter sido alvo, mas a empresa não conseguiu observar esse tráfego.
A empresa identificou o SilentAir ao estudar ataques nas conexões entre operadoras. Desde o início de 2025, ela vem rastreando ataques incomuns, em sua maioria via SS7 e, às vezes, via Diameter, partindo de algumas operadoras asiáticas que normalmente não enviariam esse tipo de ataque. Análises posteriores encontraram atividade suspeita ainda antes.
As redes que hospedam o SilentAir trataram as mensagens de acompanhamento dos alvos desviados de forma estranha e inconsistente, segundo o relatório técnico da empresa. Isso deixou duas explicações: alguém de fora estava falsificando os endereços de sinalização dessas redes, ou equipamentos dentro de cada rede haviam sido assumidos por invasores.
Depois, a empresa viu equipamentos dentro de uma operadora enviando e recebendo comandos de ataque, o que confirmou a segunda explicação. Esse equipamento se comportava exatamente como as fontes do SilentAir em outras redes.
Detectar e bloquear os ataques foi difícil no início, porque os atacantes conheciam bem as redes móveis e as defesas de sinalização. Depois que os ataques foram contidos, a empresa recuperou vestígios de acesso não autorizado. Não foi possível analisar o malware que, segundo a empresa, o SilentAir usava.
O relatório não identifica os países, as operadoras nem os alvos. Em alguns países, os ataques do SilentAir partiram de mais de uma operadora.
O SilentAir também enviou SMS silenciosos em grande escala, principalmente para assinantes em Taiwan. São mensagens que o telefone não exibe nem sinaliza com alerta.
Durante o dia, a maioria dos SMS silenciosos foi para assinantes de outras redes, como as do Sudeste Asiático. Segundo a empresa, um de seus principais usos parece ter sido verificar se um desvio havia funcionado.
Se a mensagem de teste chegasse ao equipamento invadido em vez do telefone, os atacantes sabiam que estavam recebendo as mensagens daquela pessoa.
A maioria dos SMS silenciosos foi enviada à noite, e a maior parte deles foi para pessoas em Taiwan. A empresa afirmou que a finalidade dessas mensagens não está confirmada. Elas podem ser uma verificação em massa de que os desvios anteriores ainda estavam ativos, já que os telefones têm menos chance de se registrar novamente em sua localização real durante a noite.
Os SMS silenciosos traziam frases motivacionais ou promocionais, do tipo spam, muitas vezes em inglês. A empresa acredita que o texto era um disfarce. Se alguma operadora no caminho removesse a configuração de silêncio de uma mensagem, o destinatário a veria como spam e a ignoraria.
O vínculo de baixa confiança com a China se apoia em vários sinais. O SilentAir se concentrou em Taiwan e não teve como alvo redes ou assinantes chineses.
Suas atividades de rastreamento e de interceptação também seguiam um expediente no fuso UTC+8, que corresponde ao horário padrão da China. Começavam às 9h, quase paravam nos fins de semana e eram pausadas ou reduzidas em feriados chineses.
A empresa também considerou uma ligação com o Liminal Panda, grupo responsável por invasões anteriores a empresas de telecomunicações. Segundo ela, a ligação é possível, mas não confirmada, e, por enquanto, não une os dois grupos.
Em várias operadoras invadidas, ataques do SilentAir ocorreram durante uma infecção conhecida do Liminal Panda. Em outros momentos, os dois não mostraram sinais de atuação conjunta. Eles também atacaram operadoras na mesma região da Ásia, embora o Liminal Panda não tenha foco conhecido em Taiwan.
O comportamento do SilentAir também coincide em parte com o do SCTPE, um trojan para Linux pouco conhecido que roda no kernel e foi projetado para enviar e receber tráfego SS7 e Diameter.
A Autoridade de Desenvolvimento de Mídia e Infocomm de Singapura (IMDA) descreveu a mesma ferramenta em um aviso governamental. Lá, a ferramenta é chamada SIGweaver. A agência afirmou que a CrowdStrike a identificou em 21 de janeiro e a vincula ao Liminal Panda com confiança moderada.
Mas a Enea disse que o SilentAir respondia a mensagens que ele mesmo não havia enviado, algo que o programa SCTPE conhecido não consegue fazer. A segurança operacional do SilentAir também parecia bem superior à do Liminal Panda.
Em separado, o firewall GTP da empresa detectou atividade do Liminal Panda em várias operadoras clientes desde o primeiro trimestre deste ano. A empresa bloqueou ali o tráfego GTPDoor do grupo e observou infecções do Liminal Panda, ou fortes sinais delas, em pelo menos 5 a 10 operadoras.
A backdoor GTPDoor, documentada pela primeira vez em 27 de fevereiro de 2024, oculta comandos dentro do GTP-C (protocolo que estabelece conexões de dados móveis entre redes). A empresa também encontrou evidências de uma nova versão que oculta comandos no GTP-U, parte do GTP que transporta os dados dos usuários. O tráfego GTP-U é mais difícil de inspecionar, embora a empresa acredite que a nova versão sirva principalmente como backup.
O que a Enea recomenda às operadoras
A empresa afirmou que qualquer atacante poderia reutilizar essas técnicas e recomendou às operadoras que:
- Implementem firewalls GTP-C e GTP-U e os configurem para compartilhar informações com seus firewalls SS7 e Diameter.
- Vão além das recomendações básicas do setor para a segurança da sinalização.
- Tratem toda a IPX como não confiável.
- Adicionem detecção de protocolos de sinalização dentro de suas próprias redes.
- Conectem a segurança da sinalização ao restante da segurança de TI.
O relatório não orienta as pessoas cujas ligações e mensagens podem ser alvo.
