SilentAir ha intercettato codici di autenticazione a due fattori dopo aver deviato i messaggi dei suoi obiettivi tramite dispositivi compromessi all'interno di operatori mobili asiatici. Enea, azienda di software per le telecomunicazioni e la cybersicurezza, attribuisce al gruppo attacchi diretti principalmente contro gli abbonati di Taiwan e lo valuta, con elevata fiducia, come un attore statale.
La deviazione inizia all'interno della rete mobile
Enea ha battezzato il gruppo SilentAir nella sua indagine dell'11 novembre. L'azienda osserva attività insolite dall'inizio del 2025, anche se un'analisi successiva ha rilevato segnali sospetti risalenti a prima. Gli attacchi provenivano da nodi di rete di operatori asiatici che, in circostanze normali, non avrebbero dovuto generarli.
Il gruppo utilizza principalmente SS7 e, talvolta, Diameter, protocolli di segnalazione impiegati dalle reti mobili per gestire chiamate, messaggi e servizi di roaming. SilentAir introduce gli attacchi nella rete di interconnessione IPX tramite dispositivi che ha sequestrato presso gli operatori. Questa posizione gli consente di agire dall'interno dell'infrastruttura di telecomunicazioni, e non semplicemente dal telefono della vittima.
Per deviare le comunicazioni, SilentAir invia alla rete di origine dell'abbonato un messaggio UpdateLocation, o il suo equivalente in Diameter. Il messaggio dichiara che il dispositivo compromesso sta ora gestendo il telefono della persona. Se la rete accetta questa indicazione, le chiamate e gli SMS destinati all'abbonato passano attraverso il nodo controllato dagli aggressori.
Alcune di queste deviazioni sono riuscite. Enea ha osservato che, per alcuni obiettivi, i codici 2FA arrivavano al dispositivo compromesso subito dopo l'inizio dell'intercettazione. La sequenza indica tentativi di accedere ad altri account collegati a quelle persone. Tuttavia, Enea non ha trovato prove equivalenti per le chiamate vocali né ha segnalato che sia stato preso il controllo di qualche account.
L'intercettazione ha rappresentato il 18,3 % dell'attività di SilentAir osservata da Enea. In una precedente indagine dell'azienda, la percentuale per le società di sorveglianza che generano la maggior parte degli attacchi di segnalazione era del 2,1 %. Alcuni obiettivi erano figure politiche e governative di alto profilo; in rari casi, dispositivi di diversi paesi hanno collaborato ad attacchi contro la stessa persona, uno schema che Enea interpreta come indizio di un controllore comune.
Ondate, SMS invisibili e obiettivi in più continenti
L'attività di SilentAir si manifesta in raffiche separate da periodi di calma che possono durare mesi o più. In un'ondata, gli attacchi possono passare da uno o pochi abbonati a diverse migliaia nell'arco di un mese. Taiwan concentra l'interesse del gruppo, ma gli obiettivi si trovano anche in altri paesi e territori dell'Asia orientale e sudorientale, oltre che in alcuni casi in Africa orientale, Asia centrale, Medio Oriente ed Europa.
Enea ha identificato fonti associate a SilentAir in almeno sei paesi asiatici. L'azienda non ha rivelato i nomi dei paesi, degli operatori o delle persone interessate; in alcuni paesi ha rilevato fonti presso più di un operatore. Ha inoltre avvertito che potrebbero essere stati presi di mira anche gli abbonati che utilizzano la stessa rete compromessa, sebbene Enea non fosse in grado di osservare quel traffico.
Un'altra componente di rilievo dell'operazione sono gli SMS silenziosi inviati su vasta scala, soprattutto agli abbonati taiwanesi. Sono messaggi che il telefono non mostra né segnala. Durante il giorno, la maggior parte era diretta agli abbonati di altre reti, comprese quelle del sud-est asiatico. Enea ritiene che alcuni servissero a verificare se una deviazione fosse riuscita: se l'SMS arrivava al dispositivo compromesso e non al telefono, gli aggressori potevano dedurre che ricevevano anche i messaggi di quella persona.
La maggior parte di questi messaggi veniva inviata di notte e la maggioranza di quelli notturni era destinata a persone di Taiwan. Lo scopo di questa attività notturna non è confermato. Enea ipotizza che potesse servire a verificare su larga scala le deviazioni precedenti ancora attive. I messaggi contenevano frasi promozionali o motivazionali simili allo spam, spesso in inglese; secondo l'azienda, quel testo poteva fungere da copertura nel caso in cui un operatore avesse rimosso la configurazione silenziosa e il destinatario avesse visualizzato il messaggio.
Il legame con la Cina resta una valutazione a bassa fiducia
Enea ritiene, con bassa fiducia, che SilentAir sia allineato con operazioni legate alla Cina. Tra gli indizi citati figurano l'attenzione rivolta a Taiwan, l'assenza di obiettivi cinesi e un orario di attività compatibile con la giornata lavorativa nella zona UTC+8, corrispondente all'ora standard cinese. Gli attacchi iniziavano alle 9 del mattino, quasi si fermavano nei fine settimana e rallentavano o si interrompevano durante le festività cinesi.
L'azienda osserva che la combinazione di obiettivi, tattiche e schema di attività sostiene la sua valutazione secondo cui si tratta di un attore statale, ma non presenta l'attribuzione alla Cina come una conclusione certa. L'identità degli operatori e degli obiettivi non è stata resa pubblica. Enea ha riferito di aver avvisato gli operatori che ospitavano le fonti di SilentAir e che l'attività è stata interrotta per ora; il gruppo potrebbe tornare.
L'indagine descrive anche le difficoltà incontrate per confermare le modalità degli attacchi. Inizialmente, i nodi compromessi gestivano in modo insolito e incoerente i messaggi di tracciamento degli abbonati deviati. Si aprivano così due possibilità: che qualcuno falsificasse dall'esterno gli indirizzi di segnalazione di quelle reti oppure che fossero stati compromessi i dispositivi all'interno delle reti. Enea ha confermato la seconda ipotesi osservando un dispositivo di un operatore inviare e ricevere comandi di attacco.
Rilevare e bloccare gli attacchi non è stato semplice: Enea afferma che gli aggressori conoscevano a fondo le reti mobili e le relative difese di segnalazione. Dopo aver contenuto gli attacchi, ha trovato tracce di accesso non autorizzato, ma non è riuscita ad analizzare il malware che ritiene sia stato utilizzato da SilentAir. L'azienda non sa nemmeno se gli operatori interessati abbiano ripulito i dispositivi compromessi.
Liminal Panda, una seconda attività nelle reti mobili
Il rapporto di Enea tratta anche Liminal Panda, un gruppo distinto il cui legame con SilentAir non è confermato. In diversi operatori, gli attacchi di SilentAir hanno coinciso con un'infezione nota di Liminal Panda; in altri momenti non sono emersi segnali di coordinamento. Entrambi hanno agito nella stessa area dell'Asia, ma Enea non attribuisce a Liminal Panda un interesse noto per Taiwan.
Dal primo trimestre del 2026, il firewall GTP di Enea ha rilevato e bloccato il traffico della backdoor GTPDoor presso diversi operatori clienti. L'azienda ha conteggiato diverse centinaia di tentativi di comunicazione occulta con server di comando e controllo. Stima di aver rilevato infezioni o indizi solidi presso un numero compreso tra cinque e dieci operatori e ritiene che la cifra reale possa arrivare a diverse decine, soprattutto in Asia, Africa e America Latina.
GTPDoor è una backdoor che nasconde comandi all'interno di GTP-C, il protocollo che stabilisce le connessioni dati mobili. Enea ha inoltre trovato indizi di una nuova versione che utilizza GTP-U, la parte di GTP che trasporta i dati degli utenti. Questo traffico è più difficile da ispezionare e, secondo l'azienda, la nuova versione sembra servire principalmente come backup.
L'aggiornamento amplia le possibilità di occultamento di Liminal Panda: GTP-U trasporta molto più traffico di GTP-C ed è utilizzato anche nel 5G, mentre GTP-C è impiegato dal 2G al 4G. Enea non afferma che i due gruppi siano la stessa entità. La sua valutazione è che potrebbero essere collegati, ma le prove non bastano per stabilire un legame.
Enea chiede difese coordinate tra i protocolli
Agli operatori, Enea raccomanda di andare oltre le misure di base per la sicurezza della segnalazione e di considerare non attendibile l'intera IPX. Propone inoltre di implementare firewall per GTP-C e GTP-U, configurati per condividere dati con le difese per SS7 e Diameter; monitorare i protocolli di segnalazione all'interno delle proprie reti e integrare questi controlli con la sicurezza informatica generale.
L'azienda sostiene che le tecniche osservate potrebbero essere riutilizzate da altri aggressori. Enea afferma di aver avvisato gli operatori che ospitavano le fonti di SilentAir e di aver aiutato i clienti a rimuovere l'attività di Liminal Panda. Per ora, entrambe le operazioni hanno subito interruzioni; l'avvertimento di Enea è che permangono le condizioni perché questi o altri attori possano tornare.
Fonti: SecurityWeek, The Hacker News, Infosecurity Magazine, Enea
