Mobilhálózatokba beépülve
A mobilszolgáltatók belső infrastruktúrájának kompromittálásával folytatnak nemzetközi kiberkémkedési műveleteket fejlett támadócsoportok – derül ki az Enea kutatásából. A vállalat a korábban ismert LIMINAL PANDA tevékenysége mellett egy új, SilentAir néven azonosított szereplő támadásait is feltárta. A műveletek elsősorban ázsiai távközlési hálózatokat érintenek, de a támadások más régiók előfizetőire is kiterjedtek.
A támadók a nemzetközi mobilhálózatok közötti, roamingot biztosító kapcsolatrendszer bizalmi viszonyait használják ki. A kompromittált szolgáltatói hálózatokból olyan jelzésforgalmat indíthatnak, amely más szolgáltatók rendszerei számára legitim hálózati kommunikációnak tűnhet. Ez lehetőséget teremthet előfizetői adatok megszerzésére, a tartózkodási hely megállapítására, valamint telefonhívások és SMS-üzenetek elfogására.
Az Enea 2026 első negyedévétől több száz, a LIMINAL PANDA csoporthoz kapcsolódó rejtett vezérlési kommunikációs kísérletet észlelt. A bizonyítékok legalább 5–10 kompromittált mobilszolgáltatóra utalnak, de a kutatók szerint világszerte akár több tucat hálózat is érintett lehet. A csoport a GTPDoor malwarel kommunikál a fertőzött rendszerekkel, és az Enea egy új változatot is azonosított, amely a korábbi vezérlési csatorna helyett a GTP-U adatforgalomban rejti el a kommunikációt. Ez különösen megnehezíti az észlelést a nagy mennyiségű legitim roamingforgalomban.
A SilentAir legalább hat ázsiai ország szolgáltatói infrastruktúrájából indított támadásokat további mintegy tucatnyi ország és terület előfizetői ellen. Elsődleges célpontja Tajvan volt, de a kutatók európai, közel-keleti és afrikai célpontokat is megfigyeltek. A támadások között kormányzati és politikai szempontból kiemelt személyek elleni műveletek is szerepeltek.
A SilentAir az SS7 és Diameter jelzésprotokollok manipulálásával képes lehet átirányítani az előfizetőknek szánt hívásokat és SMS-eket. Az Enea egyes esetekben közvetlenül az elfogás után érkező kétfaktoros hitelesítési kódokat is megfigyelt, ami további felhasználói fiókok elleni támadási szándékra utal. A csoport nagy mennyiségben alkalmazott silent SMS-eket is, amelyek a telefon kijelzőjén nem jelennek meg.
A kutatók a SilentAir tevékenységét nagy bizonyossággal állami szintű műveletnek tartják, Kínához kapcsolódását azonban csak alacsony bizonyossággal valószínűsítik. A LIMINAL PANDA és a SilentAir közötti kapcsolat szintén nem bizonyított.
A mobilhálózatok biztonsága nem korlátozható az egyes szolgáltatók saját rendszereire. A roamingkapcsolatok és a belső hálózati elemek összehangolt védelme nélkül egy kompromittált szolgáltató más országok előfizetőinek biztonságát is veszélyeztetheti. A felhasználók számára további tanulság, hogy a hagyományos SMS-alapú kétfaktoros hitelesítés a mobilhálózati támadásokkal szemben is sérülékeny lehet.
