Um grupo de espionagem recém-identificado usou equipamentos comprometidos em operadoras de telefonia móvel da Ásia para interceptar ligações e mensagens de pessoas selecionadas, principalmente em Taiwan.
A Enea, empresa de software para telecomunicações e segurança cibernética com sede em Estocolmo, identificou pontos de origem dos ataques do grupo em pelo menos seis países asiáticos e o batizou de SilentAir nesta semana. A empresa avaliou, com alto grau de confiança, que se trata de um agente estatal, mas associou suas atividades à China com baixo grau de confiança.
A Enea informou às operadoras onde havia identificado esses pontos de origem. Segundo a empresa, as atividades do SilentAir foram interrompidas por enquanto, mas o grupo pode voltar. O relatório não informa se as operadoras removeram os equipamentos comprometidos.
As operadoras de telefonia móvel usam os protocolos SS7 e Diameter para trocar mensagens de sinalização que direcionam ligações e mensagens de texto, além de permitir o roaming. Esse tráfego passa por uma rede compartilhada chamada IPX, que se baseia em um alto grau de confiança entre as operadoras. O SilentAir lançou seus ataques contra a IPX a partir dos equipamentos comprometidos.
Para interceptar as comunicações, o grupo enviava à rede de origem do alvo uma mensagem UpdateLocation, ou seu equivalente no Diameter. A mensagem informava que o equipamento comprometido estava atendendo o telefone da pessoa. Se a rede de origem aceitasse a solicitação, as ligações e mensagens destinadas ao alvo seriam desviadas para os invasores.
Alguns ataques foram bem-sucedidos. Em certos casos, a Enea observou códigos de autenticação de dois fatores (2FA) sendo interceptados logo após o desvio das comunicações. O comportamento indica uma tentativa de invadir outras contas registradas em nome dessas pessoas.
O relatório não apresenta evidências semelhantes de interceptação de ligações de voz, nem informa se alguma conta chegou a ser tomada.
A interceptação correspondeu a 18,3% dos ataques atribuídos ao SilentAir observados pela Enea. Em pesquisas anteriores da empresa, essa proporção era de 2,1% para um grupo típico de vigilância, responsável pela maioria dos ataques contra sistemas de sinalização.
Entre os alvos estavam figuras importantes da política e do governo de seus países. Em casos raros, equipamentos do SilentAir localizados em diferentes países atuaram em conjunto contra esses alvos, o que, segundo a Enea, sugere a existência de um único controlador.
Os ataques ocorriam em ondas, que podiam atingir desde um ou poucos assinantes até vários milhares ao longo de um mês. Entre uma onda e outra, havia intervalos de vários meses ou mais.
Além de Taiwan, os alvos estavam principalmente em redes de outros países do Sudeste e do Leste Asiático. Também houve casos na África Oriental, na Ásia Central, no Oriente Médio e na Europa. Pessoas que usavam as próprias redes das operadoras comprometidas também podem ter sido alvo, mas a Enea não conseguiu observar esse tráfego.
A empresa identificou o SilentAir ao analisar ataques contra as conexões entre operadoras. Desde o início de 2025, a Enea acompanha ataques incomuns, principalmente por SS7 e, ocasionalmente, por Diameter, originados em algumas operadoras asiáticas que normalmente não enviariam esse tipo de ataque. Análises posteriores revelaram atividades suspeitas ainda mais antigas.
De acordo com o relatório técnico da Enea, as redes que hospedavam o SilentAir tratavam de forma estranha e inconsistente as mensagens de retorno relacionadas aos alvos cujas comunicações haviam sido desviadas. Isso apontava para duas possibilidades: alguém de fora estava falsificando os endereços de sinalização dessas redes ou equipamentos dentro de cada rede haviam sido comprometidos.
A empresa então observou equipamentos dentro de uma operadora enviando e recebendo comandos de ataque, o que confirmou a segunda hipótese. Esses equipamentos se comportavam exatamente como os pontos de origem do SilentAir encontrados em outras redes.
No início, foi difícil detectar e bloquear os ataques porque os invasores conheciam bem as redes móveis e as defesas de sinalização. Depois que as atividades foram contidas, a Enea encontrou indícios de acesso não autorizado. A empresa não conseguiu analisar o malware que acredita ter sido usado pelo SilentAir.
O relatório não identifica os países, as operadoras nem os alvos. Em alguns países, os ataques do SilentAir partiram de mais de uma operadora.
O grupo também enviou silent SMS em grande escala, principalmente para assinantes em Taiwan. Esse tipo de mensagem não aparece na tela do telefone nem gera alertas.
Durante o dia, a maioria das silent SMS era enviada a assinantes de outras redes, como as de países do Sudeste Asiático. Segundo a Enea, uma das principais finalidades dessas mensagens parece ter sido verificar se o desvio das comunicações havia funcionado.
Se a mensagem de teste chegasse ao equipamento comprometido em vez de ao telefone, os invasores saberiam que estavam recebendo as mensagens daquela pessoa.
A maior parte das silent SMS era enviada à noite, sobretudo para pessoas em Taiwan. A Enea afirma que a finalidade dessas mensagens ainda não foi confirmada. Uma possibilidade é que fossem usadas para verificar em larga escala se desvios anteriores continuavam ativos, já que os telefones têm menos probabilidade de se registrar novamente em sua localização real durante a noite.
As mensagens continham frases motivacionais ou promocionais semelhantes a spam, muitas vezes em inglês. A Enea acredita que o texto servia como disfarce. Se uma operadora no caminho removesse a configuração que tornava a mensagem silenciosa, o destinatário a receberia como spam e provavelmente a ignoraria.
A associação do SilentAir à China, considerada de baixa confiança pela Enea, se baseia em vários indícios. O grupo se concentrou em Taiwan e não atacou redes ou assinantes chineses.
Além disso, os ataques de rastreamento e interceptação seguiam o horário comercial do fuso UTC+8, correspondente ao horário padrão da China. As atividades começavam às 9h, quase paravam nos fins de semana e diminuíam ou eram interrompidas durante feriados chineses.
A Enea também avaliou uma possível ligação com o Liminal Panda, grupo responsável por invasões anteriores a empresas de telecomunicações. A empresa considera essa relação possível, mas não confirmada, e por enquanto não associa os dois grupos.
Em várias operadoras comprometidas, os ataques do SilentAir ocorreram durante uma infecção conhecida do Liminal Panda. Em outros períodos, não houve sinais de colaboração entre os grupos. Ambos também atacaram operadoras na mesma região da Ásia, embora não haja registro de que o Liminal Panda tenha se concentrado em Taiwan.
O comportamento do SilentAir também corresponde parcialmente ao do SCTPE, um trojan pouco conhecido para Linux, executado no kernel e projetado para enviar e receber tráfego SS7 e Diameter.
A Autoridade de Desenvolvimento de Mídia e Informação de Singapura (IMDA) descreveu a mesma ferramenta em um comunicado oficial. No documento, ela é chamada de SIGweaver. A agência afirmou que a CrowdStrike a identificou em 21 de janeiro e a associou ao Liminal Panda com grau moderado de confiança.
No entanto, a Enea observou que o SilentAir respondia a mensagens que não havia enviado. O SCTPE conhecido não tem essa capacidade. A segurança operacional do SilentAir também parecia muito mais robusta do que a do Liminal Panda.
Separadamente, o firewall GTP da Enea detectou atividades do Liminal Panda em operadoras atendidas pela empresa desde o primeiro trimestre deste ano. A Enea bloqueou o tráfego do GTPDoor, backdoor do grupo, e encontrou infecções ou fortes indícios de comprometimento em pelo menos cinco a dez operadoras.
Documentado pela primeira vez em 27 de fevereiro de 2024, o backdoor GTPDoor oculta comandos no GTP-C, protocolo que estabelece conexões de dados móveis entre redes. A Enea também encontrou indícios de uma nova versão que esconde comandos no GTP-U, parte do GTP responsável pelo transporte de dados dos usuários. O tráfego GTP-U é mais difícil de inspecionar, embora a empresa acredite que a nova versão seja usada principalmente como alternativa de reserva.
Recomendações da Enea para as operadoras
A empresa afirmou que qualquer invasor poderia reutilizar essas técnicas e recomendou que as operadoras:
- Implantem firewalls para GTP-C e GTP-U e os configurem para compartilhar informações com os firewalls de SS7 e Diameter.
- Adotem medidas que vão além das recomendações básicas do setor para a segurança da sinalização.
- Tratem toda a rede IPX como não confiável.
- Implementem mecanismos para detectar protocolos de sinalização dentro de suas próprias redes.
- Integram a segurança da sinalização às demais áreas de segurança de TI.
O relatório não traz recomendações para pessoas cujas ligações e mensagens possam ter sido alvo de interceptação.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...