De spionagegroep SilentAir gebruikte gehackte apparatuur in telecomnetwerken om SMS 2FA-codes te onderscheppen en Taiwanese gebruikers te bespioneren.
Een nieuw ontdekte spionagegroep, genaamd SilentAir, heeft apparatuur binnen telecomoperators in Azië gehackt om gesprekken en sms-berichten van geselecteerde personen, voornamelijk in Taiwan, te onderscheppen. Het telecom- en cybersecuritybedrijf Enea uit Stockholm identificeerde deze aanvalsmethodiek in minstens zes Aziatische landen en concludeerde met grote zekerheid dat SilentAir een actor op staatsniveau is. Een directe koppeling met China werd echter slechts met lage zekerheid vastgesteld. De getroffen operators zijn geïnformeerd over de gevonden bronnen van SilentAir, die momenteel zijn verstoord, maar mogelijk kunnen terugkeren.
Telecomoperators gebruiken de SS7- en Diameter-protocollen voor het uitwisselen van signaleringsberichten die gesprekken en sms-berichten routeren en roaming mogelijk maken. Dit verkeer loopt via een gedeeld netwerk, het IPX, dat gebaseerd is op een hoge mate van vertrouwen tussen operators. SilentAir voerde zijn aanvallen uit via het IPX-netwerk met gehackte apparatuur. Voor het onderscheppen stuurde SilentAir een UpdateLocation-bericht, of het Diameter-equivalent, naar het thuisnetwerk van het doelwit. Dit bericht gaf aan dat de gehackte apparatuur nu het toestel van het doelwit bediende. Als het thuisnetwerk dit accepteerde, werden gesprekken en sms-berichten van die persoon omgeleid naar de aanvallers. Sommige van deze aanvallen slaagden, waarbij direct na de omleiding 2FA-codes werden onderschept, wat wijst op pogingen om toegang te krijgen tot andere accounts van de slachtoffers.
Hoewel er geen bewijs is gevonden voor onderschepping van spraakoproepen of daadwerkelijke accountovernames, maakte onderschepping 18,3% uit van de door Enea waargenomen SilentAir-aanvallen. Ter vergelijking: bij eerdere onderzoeken naar signaleringsaanvallen was dit aandeel slechts 2,1%. Onder de doelwitten bevonden zich politieke en overheidsfunctionarissen. In enkele gevallen werkten SilentAir-apparaten in meerdere landen samen tegen dezelfde doelwitten, wat wijst op een centrale aansturing. De aanvallen vonden plaats in golven, variërend van enkele abonnees tot duizenden binnen een maand, met tussenpozen van maanden ertussen. Buiten Taiwan betroffen de doelwitten vooral netwerken in Zuidoost- en Oost-Azië, en soms ook in Oost-Afrika, Centraal-Azië, het Midden-Oosten en Europa. Het is mogelijk dat ook gebruikers binnen de gehackte netwerken zelf werden getroffen, maar dat verkeer kon niet worden geanalyseerd.
Enea ontdekte SilentAir door het analyseren van ongebruikelijke aanvallen op de verbindingen tussen operators, voornamelijk via SS7 en soms Diameter, afkomstig van Aziatische operators die normaal geen aanvallen zouden uitvoeren. Verdere analyse toonde aan dat de netwerken die SilentAir hostten, vervolgberichten voor omgeleide doelwitten op onregelmatige en inconsistente wijze afhandelden. Dit leidde tot twee mogelijke verklaringen: ofwel werd het signaaladres van die netwerken vervalst door een externe partij, ofwel was apparatuur binnen elk netwerk gekaapt. Uiteindelijk bevestigde Enea dat apparatuur binnen een operator zowel aanvalcommando’s verzond als ontving, wat de tweede verklaring bevestigde. Deze apparatuur vertoonde hetzelfde gedrag als SilentAir-bronnen in andere netwerken.
Het detecteren en blokkeren van de aanvallen was aanvankelijk lastig omdat de aanvallers een diepgaand begrip hadden van mobiele netwerken en signaalverdedigingen. Na het indammen van de aanvallen kon Enea sporen van ongeautoriseerde toegang terugvinden, maar het gebruikte malware kon niet worden geanalyseerd. De rapportage noemt geen specifieke landen, operators of doelwitten. In sommige landen kwamen SilentAir-aanvallen van meerdere operators. Daarnaast verstuurde SilentAir op grote schaal stille sms-berichten, vooral aan abonnees in Taiwan.
