SilentAir ha interceptado códigos de autenticación de dos factores tras desviar mensajes de sus objetivos desde equipos comprometidos dentro de operadoras móviles asiáticas. Enea, empresa de software de telecomunicaciones y ciberseguridad, atribuye al grupo ataques dirigidos principalmente contra abonados de Taiwán y lo evalúa, con alta confianza, como un actor estatal.
El desvío empieza dentro de la red móvil
Enea bautizó al grupo como SilentAir en su investigación del 11 de noviembre. La empresa lleva observando actividad inusual desde principios de 2025, aunque un análisis posterior encontró señales sospechosas de antes. Los ataques llegaban desde nodos de red de operadoras asiáticas que, en circunstancias normales, no deberían originarlos.
El grupo utiliza principalmente SS7 y, en ocasiones, Diameter, protocolos de señalización que las redes móviles emplean para gestionar llamadas, mensajes y servicios de itinerancia. SilentAir introduce los ataques en la red de interconexión IPX desde equipos que ha secuestrado en operadoras. Esa posición le permite actuar desde dentro de la infraestructura de telecomunicaciones, no simplemente desde el teléfono de la víctima.
Para desviar las comunicaciones, SilentAir envía a la red de origen del abonado un mensaje UpdateLocation, o su equivalente en Diameter. El mensaje afirma que el equipo comprometido está atendiendo ahora el teléfono de la persona. Si la red acepta esa indicación, las llamadas y los SMS destinados al abonado pasan por el nodo controlado por los atacantes.
Algunos de esos desvíos funcionaron. Enea observó que, para ciertos objetivos, los códigos 2FA llegaban al equipo comprometido inmediatamente después de que comenzara la interceptación. La secuencia apunta a intentos de acceder a otras cuentas vinculadas a esas personas. Sin embargo, Enea no halló una evidencia equivalente para las llamadas de voz ni informó de que se hubiera tomado el control de alguna cuenta.
La interceptación representó el 18,3 % de la actividad de SilentAir observada por Enea. En una investigación anterior de la empresa, la proporción para las compañías de vigilancia que generan la mayoría de los ataques de señalización fue del 2,1 %. Algunos objetivos eran figuras políticas y gubernamentales de alto perfil; en casos poco frecuentes, equipos de varios países colaboraron en ataques contra una misma persona, un patrón que Enea interpreta como indicio de un controlador común.
Oleadas, SMS invisibles y objetivos en varios continentes
La actividad de SilentAir aparece en ráfagas separadas por periodos de calma que pueden durar meses o más. En una oleada, los ataques pueden ir de uno o unos pocos abonados a varios miles en el transcurso de un mes. Taiwán concentra el interés del grupo, pero los objetivos también aparecen en otros países y territorios de Asia oriental y sudoriental, además de casos en África oriental, Asia central, Oriente Medio y Europa.
Enea identificó fuentes asociadas a SilentAir en al menos seis países asiáticos. La empresa no reveló los nombres de los países, las operadoras ni las personas afectadas; en algunos países detectó fuentes en más de una operadora. También advirtió que los abonados que usan la propia red comprometida podrían haber sido objetivo, aunque Enea no podía observar ese tráfico.
Otra parte destacada de la operación son los SMS silenciosos enviados a gran escala, sobre todo a abonados taiwaneses. Son mensajes que el teléfono no muestra ni anuncia. Durante el día, la mayoría se dirigía a abonados de otras redes, incluidas redes del sudeste asiático. Enea cree que algunos servían para comprobar si un desvío había tenido éxito: si el SMS llegaba al equipo comprometido y no al teléfono, los atacantes podían inferir que también recibían los mensajes de esa persona.
La mayor parte de esos mensajes se enviaba de noche, y la mayoría de los nocturnos iba a personas en Taiwán. El propósito de esa actividad nocturna no está confirmado. Enea plantea que podría funcionar como una comprobación masiva de desvíos anteriores que todavía seguían activos. Los mensajes contenían frases promocionales o motivacionales parecidas al spam, a menudo en inglés; la empresa considera que ese texto podía servir de disfraz si una operadora eliminaba la configuración silenciosa y el destinatario veía el mensaje.
El vínculo con China sigue siendo una evaluación de baja confianza
Enea considera con baja confianza que SilentAir se alinea con operaciones vinculadas a China. Entre los indicios que cita están el foco en Taiwán, la ausencia de objetivos chinos y un horario de actividad compatible con la jornada laboral en la zona UTC+8, que corresponde a la hora estándar de China. Los ataques comenzaban a las 9 de la mañana, casi se detenían los fines de semana y bajaban de ritmo o se interrumpían durante festivos chinos.
La compañía señala que la combinación de objetivos, tácticas y patrón de actividad respalda su evaluación de que se trata de un actor estatal, pero no presenta la atribución a China como una conclusión firme. La identidad de las operadoras y de los objetivos no se ha hecho pública. Enea sí informó de que alertó a las operadoras que alojaban las fuentes de SilentAir y de que la actividad había sido interrumpida por ahora; el grupo podría volver.
La investigación también describe las dificultades para confirmar cómo se habían producido los ataques. Al principio, los nodos comprometidos gestionaban de forma extraña e inconsistente los mensajes de seguimiento de los abonados desviados. Eso abría dos posibilidades: que alguien falsificara desde fuera las direcciones de señalización de esas redes o que los equipos dentro de las redes hubieran sido tomados. Enea confirmó la segunda al observar un equipo de una operadora enviando y recibiendo comandos de ataque.
La detección y el bloqueo no fueron sencillos: Enea afirma que los atacantes conocían bien las redes móviles y sus defensas de señalización. Después de contener los ataques, encontró rastros de acceso no autorizado, pero no pudo analizar el malware que cree que SilentAir utilizó. La empresa tampoco sabe si las operadoras afectadas han limpiado los equipos comprometidos.
Liminal Panda, una segunda actividad en las redes móviles
El informe de Enea cubre también a Liminal Panda, un grupo distinto cuya relación con SilentAir no está confirmada. En varios operadores, los ataques de SilentAir coincidieron con una infección conocida de Liminal Panda; en otros momentos no hubo señales de coordinación. Ambos actuaron en la misma parte de Asia, pero Enea no atribuye a Liminal Panda un interés conocido en Taiwán.
Desde el primer trimestre de 2026, el cortafuegos GTP de Enea detectó y bloqueó tráfico de la puerta trasera GTPDoor en varias operadoras clientes. La empresa contabilizó varios cientos de intentos de comunicación encubierta con servidores de comando y control. Calcula que encontró infecciones o indicios sólidos en entre cinco y diez operadoras, y cree que la cifra real podría llegar a varias decenas, sobre todo en Asia, África y América Latina.
GTPDoor es una puerta trasera que oculta comandos dentro de GTP-C, el protocolo que establece conexiones de datos móviles. Enea encontró además indicios de una nueva versión que emplea GTP-U, la parte de GTP que transporta los datos de los usuarios. Ese tráfico es más difícil de inspeccionar y, según la empresa, la nueva versión parece servir principalmente como respaldo.
La actualización amplía las opciones de ocultación de Liminal Panda: GTP-U mueve mucho más tráfico que GTP-C y también se utiliza en 5G, mientras que GTP-C se usa de 2G a 4G. Enea no afirma que ambos grupos sean uno solo. Su evaluación es que podrían estar conectados, pero las pruebas no bastan para vincularlos.
Enea pide defensas coordinadas entre protocolos
Para las operadoras, Enea recomienda ir más allá de las medidas básicas de seguridad de señalización y tratar la totalidad de IPX como no confiable. También propone desplegar cortafuegos para GTP-C y GTP-U, configurados para compartir datos con las defensas de SS7 y Diameter; vigilar los protocolos de señalización dentro de las propias redes, e integrar esos controles con la seguridad informática general.
La empresa sostiene que las técnicas observadas podrían ser reutilizadas por otros atacantes. Enea dice que alertó a las operadoras que alojaban fuentes de SilentAir y ayudó a clientes a retirar la actividad de Liminal Panda. Por ahora, ambas operaciones han sufrido interrupciones; la advertencia de Enea es que las condiciones para que ellas u otros actores regresen siguen presentes.
Fuentes: SecurityWeek, The Hacker News, Infosecurity Magazine, Enea
