SilentAir: státní útočník přesměrovává hovory a SMS přes napadené mobilní operátory, hlavně na Tchaj-wanu

Co se stalo

Firma Enea, která dodává zabezpečení signalizace mobilním operátorům, zveřejnila 11. listopadu 2026 rozbor nové skupiny, kterou pojmenovala SilentAir. Na analýze spolupracovala s týmem Cyberforce lucemburského operátora POST Luxembourg.

Podle Enea SilentAir ovládá síťové prvky uvnitř napadených operátorů a z nich posílá do mezinárodního propojení operátorů (IPX) podvržené zprávy protokolů SS7 a Diameter. Neobvyklou signalizaci z některých asijských sítí Enea pozoruje od začátku roku 2025, zpětně našla podezřelou aktivitu i dřív. Útoky přicházejí v nárazech, mezi kterými jsou měsíce klidu.

Enea s vysokou jistotou hodnotí SilentAir jako státního aktéra, ne jako komerčního prodejce sledování. Shodu s operacemi napojenými na Čínu uvádí jen s nízkou jistotou – aktivita odpovídá pracovní době v pásmu UTC+8 a ustává kolem čínských svátků, čínské sítě mezi cíli nebyly.

Jak útok probíhá

Enea jmenuje konkrétní operace. Ke sběru údajů o zákaznících slouží zprávy SS7 MAP SendRoutingInfoForSM, RestoreData a SendAuthenticationInfo, ke zjištění polohy AnyTimeInterrogation (podle Enea jen malá část aktivity). Jádrem je odposlech: podvržená zpráva UpdateLocation oznámí domácí síti oběti, že se telefon „přihlásil“ v cizí síti, a ta pak hovory a SMS směruje do uzlu útočníka. V sítích 4G používá SilentAir obdobné zprávy Diameter (Authentication-Information-Request, Insert-Subscriber-Data-Request, Update-Location-Request).

U některých obětí Enea viděla, že hned po přesměrování přišly kódy dvoufázového ověření – podle firmy to ukazuje na snahu dostat se do dalších účtů obětí. Ve velkém, hlavně na tchajwanská čísla, útočník posílal tiché SMS (někdy se spamovým textem) přes zprostředkující SMS centra, většinou v jihovýchodní Asii. Enea předpokládá, že jimi kontroluje, jestli přesměrování ještě platí.

Koho se to týká

• Cíle: hlavně Tchaj-wan, dále operátoři a zákazníci v dalším zhruba tuctu zemí a území v jihovýchodní a východní Asii; občas i ve východní Africe, střední Asii, na Blízkém východě a v Evropě (konkrétní evropské země Enea neuvádí). Mezi cíli byly politické a vládní osobnosti.
• Zdroj útoků: síťové prvky spojené se SilentAir Enea našla u operátorů v nejméně šesti asijských zemích, v některých zemích u více operátorů.
• Běžní uživatelé se terčem stanou jen výjimečně – jde o cílené sledování vybraných lidí. Ukazuje to ale slabinu kódů z SMS, která nezávisí na tom, kde žijete.

Souvislost s LIMINAL PANDA

Ve stejné zprávě Enea popisuje skupinu LIMINAL PANDA, kterou CrowdStrike v listopadu 2024 popsal jako útočníka na telekomunikace aktivního nejméně od roku 2020. Enea její backdoor GTPDoor zachytila u více zákaznických operátorů od 1. čtvrtletí 2026 a nově popsala verzi GTPDoor v3, která místo řídicího protokolu GTP-C komunikuje přes uživatelský provoz GTP-U, a je proto hůř vidět. LIMINAL PANDA podle Enea napadla nejméně 5–10 operátorů, možná několik desítek.

Spojení obou skupin Enea nepotvrzuje: sdílí část napadených sítí, cíle v Asii a nástroj SCTPE, SilentAir ale reaguje i na transakce, které sám nezahájil, a má lepší provozní zabezpečení.

Jak poznat napadení

Enea zveřejnila jen dva indikátory (MD5). Konkrétní Global Title, signalizační body ani IP adresy neuvádí.

35f0d4d0c5519a2957338e448fce53bc  GTPDoor v3
da35d98c9a22e8ede93595d21fe7e63e  SCTPE

Hashe můžete hledat v EDR a úložištích vzorků linuxových serverů jádra sítě; z logů je vytáhne náš extraktor IOC přímo ve vašem prohlížeči. Na úrovni signalizace upozorňuje Enea na UpdateLocation a Update-Location-Request pro vlastní zákazníky, kteří se fyzicky nepohybují, na nárazy SendAuthenticationInfo/AIR a na hromadné tiché SMS.

Co udělat

Operátoři (doporučení Enea):

1. Nasaďte ochranu GTP-C i GTP-U a propojte ji s bránami (firewally) pro SS7 a Diameter, aby viděly napříč protokoly.
2. Jděte nad základní oborová doporučení pro zabezpečení signalizace.
3. Berte rozhraní IPX jako nedůvěryhodné, včetně DNS a ICMP.
4. Analyzujte i vnitřní signalizaci, nejen provoz na hranici sítě.
5. Propojte bezpečnost signalizace s běžným SOC.
6. U jádra sítě provozovaného dodavatelem si ujasněte, kdo má viditelnost a data pro vyšetřování.

Uživatelé (naše doporučení, Enea pro ně rady nedává): u e-mailu, bankovnictví a pracovních účtů dejte přednost ověřovací aplikaci, přístupovému klíči nebo bezpečnostnímu klíči před kódem z SMS. Postup je v návodu Dvoufázové ověření: jak ho zapnout.

Časová osa

• 2020 – LIMINAL PANDA aktivní nejméně od tohoto roku (CrowdStrike).
• 19. 11. 2024 – CrowdStrike zveřejňuje rozbor LIMINAL PANDA.
• začátek 2025 – Enea pozoruje první neobvyklou signalizaci SilentAir.
• 1. čtvrtletí 2026 – Enea zachycuje GTPDoor u zákaznických operátorů.
• červenec 2026 – POST Luxembourg veřejně hlásí zachycení GTPDoor.
• 11. 11. 2026 – Enea zveřejňuje rozbor SilentAir a LIMINAL PANDA, 12. 11. doplňuje shrnutí.