Enea: SilentAir, operatör sinyalleşme ekipmanlarını ele geçirerek Asya'da SMS 2FA kodlarını yönlendirdi

Altı operatörün içinde ele geçirilen ekipman

Stockholm merkezli telekom güvenlik firması Enea, SilentAir adını verdiği bir grubun en az altı Asya ülkesindeki mobil operatörlerin içindeki sinyalleşme ekipmanlarını ele geçirdiğini ve bu köprübaşını kullanarak seçilen abonelerin — çoğu Tayvan'da — aramalarını ve mesajlarını yönlendirdiğini açıkladı. Enea'nın bulgularına ilişkin bir dev.to haberine göre bazı yönlendirmeler doğrudan SMS iki faktörlü kimlik doğrulama kodlarının ele geçirilmesiyle sonuçlandı ve hedef listesinde siyasi ve hükümet figürleri de yer aldı.

Enea, SilentAir'in yüksek güven düzeyiyle devlet destekli bir aktör olduğunu değerlendiriyor; ancak grubu Çin'e yalnızca düşük güven düzeyiyle bağlıyor. Şirket, etkilenen operatörlere SilentAir kaynaklarının nerede bulunduğunu bildirdiğini ve grubun şimdilik etkisiz hale getirildiğini söylüyor; ancak rapor, hack'lenen ekipmanın temizlendiğini doğrulamıyor ve Enea grubun geri dönebileceği konusunda uyarıyor.

Trafiği yönlendiren sahte konum güncellemeleri

Operatörler, arama ve mesajları yönlendirmek ve dolaşımı desteklemek için SS7 ve Diameter sinyalleşme mesajları alışverişinde bulunur; bu trafik, operatörler arasındaki yüksek güven üzerine kurulu bir bağlantı ağı olan IPX üzerinden geçer. SilentAir bu sisteme sahte kimlikle sızmadı. Enea'nın araştırmasının dev.to özetine göre, önceden ele geçirdiği gerçek operatörlerin içindeki ekipmandan saldırdı; dolayısıyla mesajları, meşru operatör ekipmanına ait güveni taşıyordu.

Bir hedefi ele geçirmek için grup, kurbanın ana ağına, ele geçirilen ekipmanın artık hedefin telefonuna hizmet verdiğini iddia eden bir UpdateLocation mesajı ya da Diameter eşdeğerini gönderdi. Ana ağ bunu kabul ettiğinde, o aboneye giden trafik saldırganlara yöneldi ve kurbanın cihazında bir şeylerin ters gittiğine dair hiçbir belirti olmadı. Enea, bazı yönlendirmelerin devreye girmesinin hemen ardından 2FA kodlarının ele geçirildiğini gözlemledi; bu da bu numaralara bağlı diğer hesaplara erişme girişimlerine işaret ediyor. Ele geçirme, Enea'nın gözlemlediği SilentAir saldırılarının yüzde 18,3'ünü oluşturuyordu; Enea'nın önceki araştırmasındaki tipik bir ticari gözetim satıcısında bu oran yüzde 2,1'di — neredeyse dokuz kat daha yüksek. Rapor, sesli aramalar için benzer bir kanıt sunmuyor ve hiçbir hesap ele geçirme olayını doğrulamıyor.

Yönlendirme kontrolü olarak sessiz SMS

SilentAir ayrıca — telefonun görüntülemeden veya uyarı vermeden aldığı mesajlar olan — sessiz SMS'leri çok büyük ölçekte gönderdi; çoğunlukla Tayvan'daki abonelere. Enea'ya göre gündüz saatlerindeki temel kullanım, yönlendirmelerin geçerli olup olmadığını doğrulamak gibiydi: bir test mesajı el cihazı yerine saldırganların ekipmanına ulaşırsa, o kişinin mesajlarını aldıklarını biliyorlardı. Gece trafiği de çoğunlukla Tayvan'a gitti; amacı doğrulanmadı, ancak Enea'nın dile getirdiği bir olasılık, telefonların gece boyunca en seyrek yeniden kayıt olduğu düşünülürse yönlendirmelerin toplu olarak yeniden kontrol edilmesi. Mesajlar, Enea'nın yol üzerindeki bir operatörün sessiz işaretini kaldırması ihtimaline karşı örtü olarak hizmet ettiğine inandığı, çoğunlukla İngilizce spam tarzı motivasyon ve tanıtım cümleleri taşıyordu.

Hedefler, tempo ve aktör tespiti

Etkinlik, bir aylık dönemde tek bir aboneden birkaç bine kadar değişen, aylarca ya da daha uzun süren boşluklarla ayrılan dalgeler halinde geldi. Tayvan dışındaki hedeflerin çoğu Güneydoğu ve Doğu Asya ağlarındaydı; bir kısmı Doğu Afrika, Orta Asya, Orta Doğu ve Avrupa'daydı. Ele geçirilen operatörlerin kendi ağlarındaki aboneler de hedef alınmış olabilir, ancak Enea bu trafiği göremedi. Nadir durumlarda, birkaç ülkedeki ekipman tek bir hedefe karşı çalıştı; Enea bunu tek bir kontrolcü olarak yorumluyor.

Enea, Asyalı operatörlerden gelen olağandışı SS7 ve Diameter saldırılarını takip etmeye 2025 başında başladı ve daha sonra şüpheli etkinliğin daha da geriye uzandığını buldu. Takip mesajlarının tuhaf işlenişi iki açıklama bıraktı — sahte sinyalleşme adresleri ya da ele geçirilmiş iç ekipman — ve ikincisi, Enea bir operatörün içindeki ekipmanın hem saldırı komutları gönderdiğini hem de aldığını gördüğünde doğrulandı. Kontrolün sağlanmasının ardından Enea yetkisiz erişim izlerini kurtardı, ancak kullanıldığına inandığı kötü amaçlı yazılımı analiz edemedi.

Düşük güven düzeyli Çin bağlantısı, Tayvan'a odaklanmaya, Çin ağlarına veya abonelerine yönelik saldırıların yokluğuna ve hafta sonları ile Çin tatilleri etrafında duraksayan, UTC+8 çalışma gününü izleyen etkinliğe dayanıyor. Daha önceki telekom sızmalarının arkasındaki Liminal Panda grubuyla bağlantı mümkün ama doğrulanmadı. SilentAir'ın davranışı ayrıca kısmen SCTPE ile eşleşiyor — Singapur IMDA danışma belgesinin SIGweaver adı altında tanımladığı ve CrowdStrike'ın 21 Ocak'ta tespit ettikten sonra orta güven düzeyiyle Liminal Panda'ya bağladığı, SS7 ve Diameter trafiği için az bilinen bir Linux kernel trojanı. Enea bir farka dikkat çekiyor: bilinen SCTPE programı, göndermediği mesajlara yanıt veremez, oysa SilentAir verdi.

Neden önemli

Kampanya, göndereni denetleyen sinyalleşme savunmalarının zayıf noktasını ortaya koyuyor: meşru operatör ekipmanı ele geçirildiğinde trafiği IPX'in güvenini devralır ve kaynak denetimleri geçer. Kurbanlar için, bir yönlendirme sürdüğü sürece her SMS tek kullanımlık kodu saldırganlara aktı ve saldırı operatör ağının içinde yaşadığı için cihaz düzeyinde güvenlik hiçbir koruma sunmadı. Yüzde 18,3'lük ele geçirme payı, toplu konum takibinden ziyade belirli kişilerin iletişiminin toplandığına işaret ediyor. Temizliğin doğrulanmaması ve kötü amaçlı yazılımın analiz edilmemiş olması, raporun bu kabiliyetin gerçekten ortadan kalkıp kalkmadığını açık bırakmasını sağlıyor — ve bu, yüksek değerli hesaplar için SMS tabanlı 2FA'ya güvenmemek için yeni bir gerekçe.