SilentAir: hacker entrano nelle reti degli operatori e intercettano chiamate e SMS

Le reti di telefonia mobile sono diventate un obiettivo sempre più interessante per le operazioni di spionaggio informatico.

A dimostrarlo è una nuova indagine pubblicata da Enea, società specializzata nella sicurezza delle infrastrutture di comunicazione, che ha analizzato le attività di LIMINAL PANDA e SilentAir.

Le due entità sfruttano le interconnessioni tra operatori telefonici per condurre operazioni clandestine e raccogliere informazioni sugli utenti. La ricerca mette in evidenza una minaccia che non riguarda soltanto la riservatezza delle comunicazioni, ma coinvolge anche la sicurezza degli account personali. L’aspetto più significativo è la capacità degli aggressori di sfruttare infrastrutture considerate affidabili per nascondere attività malevole e raggiungere obiettivi selezionati.

LIMINAL PANDA sfrutta le vulnerabilità delle reti mobili

LIMINAL PANDA è un gruppo già conosciuto nell’ambito della sicurezza informatica, associato da precedenti analisi a operazioni riconducibili all’ecosistema cinese. L’indagine di Enea documenta la sua presenza nelle infrastrutture degli operatori telefonici attraverso GTPDoor, un malware progettato per consentire comunicazioni clandestine con i sistemi compromessi.

Gli esperti hanno individuato diverse centinaia di tentativi di comunicazione nascosta, con evidenze dirette o forti indicazioni di infezioni presso un numero compreso tra cinque e dieci operatori. L’attività osservata comprendeva il trasferimento illecito di informazioni, l’esecuzione di comandi e il mantenimento dell’accesso agli ambienti compromessi.

Un elemento particolarmente rilevante riguarda l’evoluzione di GTPDoor. La nuova variante utilizza GTP-U, il protocollo destinato al trasporto dei dati, anziché limitarsi al canale di controllo. Questa scelta rende più difficile individuare il traffico malevolo, perché le comunicazioni sospette possono confondersi con flussi legittimi molto più consistenti.

Il problema non riguarda soltanto la presenza del malware, ma anche la capacità degli aggressori di muoversi all’interno di infrastrutture interconnesse. Una compromissione può infatti diventare un punto di accesso per raggiungere altri nodi della rete, ampliando la superficie esposta senza richiedere un attacco diretto contro ogni singolo operatore.

SilentAir trasforma il traffico di segnalazione in uno strumento di spionaggio

Accanto a LIMINAL PANDA, Enea ha identificato SilentAir, un attore che utilizza il traffico di segnalazione per intercettare comunicazioni e raccogliere dati sugli abbonati.

I ricercatori attribuiscono con elevata confidenza a questa attività una natura riconducibile a un attore statale, mentre il possibile collegamento con operazioni legate alla Cina resta una valutazione a bassa confidenza.

L’indagine descrive una presenza concentrata soprattutto su obiettivi taiwanesi, con attività riconducibili a infrastrutture situate in almeno sei Paesi asiatici. Le operazioni hanno raggiunto anche altri territori, coinvolgendo persone considerate di particolare interesse politico o istituzionale.

Il meccanismo sfrutta messaggi di segnalazione SS7 e Diameter per manipolare la gestione delle comunicazioni. Attraverso nodi compromessi, SilentAir può inserirsi nel percorso seguito da chiamate e SMS, rendendo possibile l’intercettazione dei contenuti destinati agli abbonati selezionati. In alcuni casi, Enea ha osservato codici di autenticazione a due fattori arrivare agli aggressori subito dopo l’intercettazione.

La ricerca evidenzia anche una differenza rispetto alle normali attività delle società di sorveglianza: l’obiettivo non sembra limitarsi al monitoraggio degli spostamenti, ma comprende il controllo delle comunicazioni e l’accesso a informazioni utili per successive intrusioni.