SilentAir Casus Grubu, Asya Telekom Ağlarını Hedef Alarak SMS 2FA Kodlarını Ele Geçirdi ve Tayvanlı Kullanıcıları Casusluk Yaptı

SilentAir Casus Grubu, Asya Telekom Ağlarını Hedef Alarak SMS 2FA Kodlarını Ele Geçirdi ve Tayvanlı Kullanıcıları Casusluk Yaptı

Yeni tespit edilen SilentAir adlı bir casusluk grubu, Asya mobil operatörlerindeki ele geçirilmiş ekipmanları kullandı. Grup, çoğunlukla Tayvan’daki belirli kişilerin çağrılarını ve mesajlarını ele geçirdi.

Stockholm merkezli telekom ve siber güvenlik yazılım şirketi Enea, grubun saldırı kaynaklarını en az altı Asya ülkesinde buldu. Şirket, bu hafta gruba SilentAir adını verdi. Enea, SilentAir’in devlet destekli bir aktör olduğuna yüksek güvenle inanıyor. Ancak faaliyetlerini Çin ile düşük güvenle ilişkilendirdi.

Enea, SilentAir kaynaklarını bulduğu operatörlere bilgi verdi. Şirket, grubun şimdilik etkisiz hale getirildiğini ancak geri dönebileceğini belirtti. Raporda, bu operatörlerin ele geçirilmiş ekipmanları temizleyip temizlemediği belirtilmiyor.

Saldırı Mekanizması ve Hedefler

Mobil operatörler, çağrıları ve mesajları yönlendiren sinyal mesajlarını değiş tokuş etmek için SS7 ve Diameter protokollerini kullanır. Bu trafik, operatörler arasında yüksek düzeyde güvene dayalı olarak çalışan IPX adlı paylaşılan bir ağ üzerinden geçer. SilentAir, saldırılarını ele geçirilmiş ekipmanlardan IPX’e gönderdi.

Ele geçirme için SilentAir, hedefin ana ağına bir UpdateLocation mesajı veya bunun Diameter eşdeğerini gönderdi. Mesaj, ele geçirilmiş ekipmanın artık hedefin telefonuna hizmet verdiğini iddia ediyordu. Eğer ana ağ bunu kabul ederse, o kişinin çağrıları ve mesajları saldırganlara yönlendiriliyordu.

Bu saldırıların bazıları başarılı oldu. Bazı hedefler için şirket, yönlendirme etkili olduktan hemen sonra iki faktörlü kimlik doğrulama (2FA) kodlarının ele geçirildiğini gözlemledi. Bu durum, bu kişilere kayıtlı diğer hesaplara sızma girişimine işaret ediyor.

Raporda sesli aramalar için benzer bir kanıt sunulmuyor ve herhangi bir hesabın ele geçirilip geçirilmediği belirtilmiyor.

Ele geçirme, şirketin SilentAir’den gördüğü saldırıların %18,3’ünü oluşturuyordu. Tipik bir gözetim şirketi için, çoğu sinyal saldırısının arkasındaki firma türü için, şirketin önceki araştırmalarında bu oran %2,1 idi.

Bazı hedefler, kendi ülkelerinde siyasi ve hükümet VIP’leriydi. Nadir durumlarda, SilentAir ekipmanları birkaç ülkede bu tür hedeflere karşı birlikte çalıştı. Bu durum, şirkete göre tek bir kontrolöre işaret ediyor.

Saldırılar, bir veya birkaç aboneden bir ay içinde birkaç bine kadar, aralarında birkaç ay veya daha uzun süren boşluklarla patlamalar halinde gerçekleşti.

Tayvan dışında, hedefler çoğunlukla diğer Güneydoğu ve Doğu Asya ağlarında bulunuyordu. Zaman zaman Doğu Afrika, Orta Asya, Orta Doğu ve Avrupa’da da hedefler vardı. Ele geçirilmiş operatörlerin kendi ağlarını kullanan kişiler de hedeflenmiş olabilir, ancak şirket bu trafiği göremedi.

SilentAir’in Tespiti ve İlişkili Gruplar

Şirket, operatörler arasındaki bağlantılara yönelik saldırıları inceleyerek SilentAir’i tespit etti. 2025 başından bu yana, bazı Asyalı operatörlerden gelen olağandışı saldırıları takip etti. Bu operatörler normalde saldırı göndermeyecekti ve saldırılar çoğunlukla SS7 ve bazen Diameter üzerinden geliyordu. Daha sonraki analizler, daha da erken şüpheli faaliyetler buldu.

Şirketin teknik raporuna göre, SilentAir’i barındıran ağlar, yönlendirilen hedefler için takip mesajlarını tuhaf ve tutarsız şekillerde ele aldı. Bu durum iki açıklamaya yol açtı: dışarıdan biri bu ağların sinyal adreslerini taklit ediyordu veya her ağın içindeki ekipman ele geçirilmişti.

Şirket daha sonra bir operatörün içindeki ekipmanın hem saldırı komutları gönderdiğini hem de aldığını gördü. Bu durum ikinci açıklamayı doğruladı. Bu ekipman, diğer ağlardaki SilentAir kaynaklarıyla tamamen aynı şekilde davrandı.

Saldırıları tespit etmek ve engellemek başlangıçta zordu çünkü saldırganlar mobil ağları ve sinyal savunmalarını iyi anlıyordu. Saldırılar kontrol altına alındıktan sonra, şirket yetkisiz erişim izlerini kurtardı. SilentAir’in kullandığına inandığı kötü amaçlı yazılımı analiz edemedi.

Raporda ülkelerin, operatörlerin veya hedeflerin hiçbiri belirtilmiyor. Bazı ülkelerde SilentAir saldırıları birden fazla operatörden geldi.

SilentAir ayrıca, özellikle Tayvan’daki abonelere çok büyük ölçekte sessiz SMS’ler gönderdi. Bunlar, telefonun görüntülemediği veya uyarı vermediği mesajlardır.

Gündüzleri, çoğu sessiz SMS, Güneydoğu Asya ağları gibi diğer ağlardaki abonelere gitti. Şirket, bunların ana kullanımlarından birinin bir yönlendirmenin işe yarayıp yaramadığını kontrol etmek olduğunu belirtti.

Test mesajı telefona değil de ele geçirilmiş ekipmana ulaşırsa, saldırganlar o kişinin mesajlarını aldıklarını biliyorlardı.

Çoğu sessiz SMS gece gönderildi ve bunların çoğu Tayvan’daki kişilere gitti. Şirket, bu mesajların amacının doğrulanmadığını belirtti. Telefonların gece gerçek konumlarına yeniden kaydolma olasılığı en düşük olduğu için, daha önceki yönlendirmelerin hala yerinde olup olmadığını toplu bir kontrol olabilirler.

Sessiz mesajlar, genellikle İngilizce olarak spam benzeri motivasyonel veya tanıtım metinleri taşıyordu. Şirket, metnin bir kılık değiştirme olduğuna inanıyor. Yol boyunca bir operatör bir mesajın sessiz ayarını kaldırırsa, alıcı bunu spam olarak görür ve görmezden gelirdi.

Şirketin Çin ile düşük güvenli bağlantısı birkaç işarete dayanıyor. SilentAir Tayvan’a odaklandı ve Çin ağlarını veya abonelerini hedef almadı.

Takip ve ele geçirme saldırıları da Çin Standart Saati olan UTC+8’deki bir iş gününü takip etti. Sabah 9’da başladılar, hafta sonları neredeyse durdular ve Çin tatillerinde durakladılar veya yavaşladılar.

Şirket ayrıca, daha önceki telekom ihlallerinin arkasındaki bir grup olan Liminal Panda ile bir bağlantı da değerlendirdi. Bağlantıyı mümkün ancak doğrulanmamış olarak nitelendirdi ve şimdilik iki grubu birbirine bağlamıyor.

Birkaç ele geçirilmiş operatörde, SilentAir saldırıları bilinen bir Liminal Panda enfeksiyonu sırasında gerçekleşti. Diğer zamanlarda, ikisi birlikte çalıştıklarına dair hiçbir işaret göstermedi. Ayrıca Asya’nın aynı bölgesindeki operatörleri hedef aldılar, ancak Liminal Panda’nın Tayvan’a bilinen bir odak noktası yok.

SilentAir’in davranışı, çekirdekte çalışan ve SS7 ve Diameter trafiği göndermek ve almak için tasarlanmış, az bilinen bir Linux trojanı olan SCTPE’nin davranışıyla da kısmen eşleşiyor.

Singapur’un Infocomm Medya Geliştirme Kurumu (IMDA), bir hükümet danışma belgesinde aynı aracı tanımladı. Orada, araç SIGweaver olarak adlandırılıyor. Ajans, CrowdStrike’ın bunu 21 Ocak’ta tespit ettiğini ve Liminal Panda ile orta güvenle ilişkilendirdiğini belirtti.

Ancak Enea, SilentAir’in kendisinin göndermediği mesajlara yanıt verdiğini, bilinen SCTPE programının bunu yapamadığını söyledi. SilentAir’in operasyonel güvenliği de Liminal Panda’nınkinden çok daha iyi görünüyordu.

Ayrıca, şirketin GTP güvenlik duvarı, bu yılın ilk çeyreğinden bu yana birkaç müşteri operatöründe Liminal Panda etkinliği tespit etti. Şirket, grubun GTPDoor trafiğini orada engelledi ve en az 5 ila 10 operatörde Liminal Panda enfeksiyonları veya bunların güçlü belirtilerini gördü.

İlk olarak 27 Şubat 2024’te belgelenen GTPDoor arka kapısı, mobil veri bağlantılarını ağlar arasında kuran protokol olan GTP-C içinde komutları gizler. Şirket ayrıca, komutları kullanıcı verilerini taşıyan GTP’nin bir parçası olan GTP-U içinde gizleyen yeni bir sürümün kanıtlarını da buldu. GTP-U trafiğini incelemek daha zordur, ancak şirket yeni sürümün esas olarak bir yedek olarak hizmet ettiğine inanıyor.

Operatörler İçin Enea Önerileri

Şirket, herhangi bir saldırganın bu teknikleri yeniden kullanabileceğini belirtti ve operatörlere şunları tavsiye etti:

• GTP-C ve GTP-U güvenlik duvarlarını dağıtın ve bunları SS7 ve Diameter güvenlik duvarlarıyla bilgi paylaşacak şekilde yapılandırın.
• Sinyal güvenliği için sektörün temel önerilerinin ötesine geçin.
• Tüm IPX’i güvenilmez olarak kabul edin.
• Kendi ağları içinde sinyal protokolleri için tespit ekleyin.
• Sinyal güvenliğini BT güvenliklerinin geri kalanıyla bağlayın.

Raporda, çağrıları ve mesajları hedef alınabilecek kişilere yönelik herhangi bir tavsiye bulunmuyor.