Wprowadzenie do problemu / definicja
Infrastruktura telekomunikacyjna od lat pozostaje jednym z najcenniejszych celów dla zaawansowanych grup cybernetycznych. Dostęp do sieci operatora może umożliwić nie tylko klasyczne włamanie do systemów, ale również przechwytywanie wiadomości SMS, połączeń głosowych, danych sygnalizacyjnych oraz metadanych użytkowników.
Najnowsze ustalenia dotyczące operacji SilentAir i Liminal Panda pokazują, że zagrożenia dla operatorów mobilnych nadal koncentrują się wokół protokołów sygnalizacyjnych oraz ruchu roamingowego. To szczególnie istotne w środowiskach LTE i 5G, gdzie bezpieczeństwo warstwy operatorskiej staje się równie ważne jak ochrona tradycyjnej infrastruktury IT.
W skrócie
SilentAir to nowo opisana operacja szpiegowska przypisywana aktorowi działającemu na poziomie państwowym. Według badaczy kampania była obserwowana od początku 2025 roku i wykorzystywała przejętą infrastrukturę telekomunikacyjną w Azji do nadużyć z użyciem SS7 i Diameter.
Równolegle eksperci opisali aktywność grupy Liminal Panda, która rozwija wykorzystanie backdoora GTPDoor. Narzędzie to ukrywa komunikację sterującą w ruchu GTP, co znacząco utrudnia wykrywanie działań przeciwnika w sieciach operatorów.
- Celem kampanii byli przede wszystkim abonenci na Tajwanie.
- Ataki obejmowały przechwytywanie połączeń i wiadomości tekstowych.
- Zaobserwowano także użycie silent SMS do śledzenia aktywności urządzeń.
- Liminal Panda rozwijała techniki maskowania ruchu C2 w protokołach rdzeniowych sieci mobilnych.
Kontekst / historia
Ataki na operatorów telekomunikacyjnych nie są zjawiskiem nowym, ale ich techniki ewoluują wraz z rozwojem architektury sieci. Przez lata jednym z głównych problemów bezpieczeństwa był protokół SS7, projektowany w czasach wysokiego zaufania pomiędzy operatorami. Z biegiem czasu podobne ryzyka zaczęły obejmować również Diameter oraz GTP.
W przypadku SilentAir badacze wskazali, że atakujący wykorzystywali przejęte elementy infrastruktury należące do operatorów z co najmniej sześciu państw Azji. Same działania były wymierzone w podmioty z kilkunastu krajów i terytoriów. Kampania miała charakter falowy, z okresami intensywnej aktywności rozdzielonymi dłuższymi przerwami, co utrudniało analizę i korelację incydentów.
Liminal Panda wpisuje się natomiast w szerszy trend wykorzystywania legalnie wyglądającego ruchu operatorskiego do ukrywania komunikacji malware. To podejście zwiększa skuteczność działań szpiegowskich i utrudnia odróżnienie aktywności złośliwej od standardowych procesów sieciowych.
Analiza techniczna
Kluczowym elementem kampanii SilentAir było wykorzystanie sygnalizacji operatorskiej do działań wywiadowczych. Atakujący mieli generować złośliwy ruch SS7 i Diameter z przejętych lub zainfekowanych węzłów telekomunikacyjnych. Tego rodzaju aktywność pozwala na rozpoznanie abonenta, ustalanie identyfikatorów subskrybenta, pobieranie danych pomocniczych oraz wspieranie dalszych etapów przechwytywania komunikacji.
Szczególnie istotne jest użycie silent SMS, czyli wiadomości dostarczanych do urządzenia bez standardowej prezentacji użytkownikowi. Mechanizm ten może służyć do potwierdzania aktywności telefonu, wspierania lokalizacji abonenta oraz przygotowania kolejnych operacji. Badacze zwrócili także uwagę na przypadki, w których kody 2FA pojawiały się niemal równolegle z rozpoczęciem przechwytywania ruchu, co może sugerować próbę przejęcia dostępu do usług powiązanych z numerem telefonu ofiary.
W przypadku Liminal Panda centralną rolę odgrywa GTPDoor, czyli backdoor dla systemów Unix wykorzystujący GPRS Tunneling Protocol do maskowania kanału dowodzenia i kontroli. Z perspektywy obrony jest to szczególnie niebezpieczne, ponieważ ruch GTP jest naturalnym składnikiem środowiska operatora i może zostać błędnie uznany za legalny.
Według opublikowanych ustaleń próby komunikacji C2 na interfejsie GTP-C były obserwowane już od pierwszego kwartału 2026 roku. Badacze zidentyfikowali również nowszy wariant wykorzystujący GTP-U, czyli kanał związany z transferem danych użytkownika. Taki model komunikacji może być trudniejszy do wykrycia ze względu na większy wolumen ruchu i zwykle słabszy monitoring tej warstwy.
Eksperci ocenili z wysokim poziomem pewności, że SilentAir działa na poziomie państwowym. Wskazują na to skala dostępu, selektywność celów, sposób wykorzystania infrastruktury operatorów oraz przewaga działań nastawionych na przechwytywanie danych nad typową aktywnością komercyjnych podmiotów inwigilacyjnych.
Konsekwencje / ryzyko
Skutki takich operacji wykraczają daleko poza standardowe naruszenie bezpieczeństwa systemów IT. Kompromitacja operatora może stworzyć przeciwnikowi możliwość prowadzenia ukierunkowanego szpiegostwa wobec wybranych osób, instytucji i organizacji.
- Przechwytywanie wiadomości SMS, w tym kodów jednorazowych.
- Podsłuch lub przekierowanie połączeń głosowych.
- Pozyskiwanie metadanych komunikacyjnych.
- Identyfikacja i śledzenie wybranych abonentów.
- Ukrywanie komunikacji malware w legalnie wyglądającym ruchu operatorskim.
Dla administracji publicznej, sektora infrastruktury krytycznej i dużych przedsiębiorstw oznacza to wzrost ryzyka obejścia mechanizmów MFA opartych na SMS oraz naruszenia poufności komunikacji. Szczególnie narażone są osoby pełniące funkcje wrażliwe operacyjnie, takie jak urzędnicy, politycy, kadra zarządzająca czy administratorzy infrastruktury.
Incydenty związane z SilentAir i Liminal Panda potwierdzają również, że bezpieczeństwo telekomunikacyjne nie może ograniczać się wyłącznie do klasycznego SOC i ochrony środowisk IT. Coraz większe znaczenie ma analiza warstwy sygnalizacyjnej, bezpieczeństwa roamingu oraz integralności rdzeniowych protokołów sieci mobilnych.
Rekomendacje
Operatorzy telekomunikacyjni powinni traktować interfejsy SS7, Diameter, SIGTRAN i GTP jako obszary podwyższonego ryzyka. Ochrona tych warstw wymaga zarówno dedykowanych mechanizmów detekcji, jak i ścisłej korelacji zdarzeń z telemetrią bezpieczeństwa z innych segmentów infrastruktury.
- Wdrożenie pełnej inspekcji i filtrowania ruchu sygnalizacyjnego na brzegu sieci.
- Stosowanie oraz regularne strojenie firewalli SS7, Diameter i GTP.
- Korelacja anomalii roamingowych z danymi z systemów bezpieczeństwa IT i środowisk operatorskich.
- Wykrywanie nietypowych operacji, takich jak masowe silent SMS czy podejrzane zapytania o dane abonentów.
- Segmentacja i wzmacnianie ochrony krytycznych węzłów sieciowych.
- Regularny przegląd relacji roamingowych i zaufanych ścieżek międzyoperatorskich.
- Prowadzenie działań huntingowych ukierunkowanych na malware ukrywające ruch w GTP.
- Ograniczanie zależności od SMS jako jedynego kanału MFA dla kont uprzywilejowanych.
Po stronie przedsiębiorstw i instytucji zalecane jest wdrażanie silniejszych metod uwierzytelniania, takich jak aplikacje uwierzytelniające, klucze sprzętowe FIDO2 oraz mechanizmy odporne na przejęcie numeru telefonu i przechwycenie wiadomości SMS.
Podsumowanie
Operacje SilentAir i Liminal Panda pokazują, że współczesne kampanie szpiegowskie coraz częściej koncentrują się na słabiej monitorowanych warstwach infrastruktury telekomunikacyjnej. Połączenie kompromitacji operatora z możliwością prowadzenia ukrytych operacji sygnalizacyjnych oraz tunelowania komunikacji malware przez GTP znacząco podnosi poziom ryzyka.
Dla sektora telco oznacza to konieczność przejścia od modelu reaktywnego do ciągłej analizy bezpieczeństwa sygnalizacji, ruchu roamingowego i protokołów rdzeniowych. To właśnie te obszary mogą dziś decydować o skuteczności wykrywania zaawansowanych przeciwników.