Группировка SilentAir перехватывала SMS и коды 2FA через взломанные сети азиатских операторов
Шведская компания Enea обнаружила ранее неизвестную шпионскую группу SilentAir. Она использовала взломанное оборудование операторов мобильной связи как минимум в шести странах Азии, а основной целью были абоненты на Тайване.
Главное в цифрах
- Страны с источниками атак: как минимум шесть в Азии
- Доля перехвата в атаках группы: 18,3%
- Операторов с признаками Liminal Panda: от 5 до 10
По данным Enea, группа перехватывала звонки и SMS конкретных людей. Перехват составлял 18,3% всех атак SilentAir. Злоумышленники отправляли через межоператорскую сеть IPX сообщения UpdateLocation (в Diameter их аналог), заявляя, что телефон жертвы теперь обслуживает взломанное оборудование. Если домашняя сеть принимала такое сообщение, входящие SMS, включая коды двухфакторной аутентификации, направлялись атакующим.
В некоторых случаях Enea наблюдала перехват кодов 2FA сразу после переадресации. Это указывает на попытки взлома других учётных записей жертв. Данных о перехвате голосовых звонков и о том, был ли захвачен какой-либо аккаунт, в отчёте нет.
Масштаб и цели
Среди целей были политики и государственные чиновники в своих странах. Вне Тайваня жертвы в основном находились в других сетях Юго-Восточной и Восточной Азии, а иногда в Восточной Африке, Центральной Азии, на Ближнем Востоке и в Европе. Атаки шли волнами: от одного-нескольких абонентов до нескольких тысяч за месяц, между волнами были перерывы до нескольких месяцев и дольше.
SilentAir также рассылала огромное количество тихих SMS, в основном абонентам на Тайване. Днём такие сообщения чаще уходили абонентам других сетей, и, по мнению Enea, одна из их целей была проверить, работает ли переадресация. Ночью большинство тихих SMS тоже уходило в Тайвань, назначение этих сообщений не подтверждено.
Связь с Китаем и Liminal Panda
Enea оценивает группу как actor уровня государства с высокой степенью уверенности, но связь с Китаем считает лишь вероятной. Аргументы в пользу связи: атаки не касались китайских сетей, а их активность совпадала с рабочим днём в часовом поясе UTC+8, с паузами по выходным и китайским праздникам.
Компания также рассматривала возможную связь с группой Liminal Panda, но назвала её неподтверждённой и пока не связывает группы между собой. Enea сообщила операторам, где нашла источники атак, однако не сообщила, устранили ли они уязвимое оборудование. По оценке компании, SilentAir приостановлена, но может вернуться.
