Algunos objetivos eran VIP políticos y gubernamentales en sus propios países. En casos raros, el equipo de SilentAir en varios países trabajó conjuntamente contra tales objetivos, lo que según la empresa apunta a un único controlador.

Los ataques se produjeron en ráfagas, desde uno o unos pocos suscriptores hasta varios miles durante un mes, con lapsos de hasta varios meses o más entre ráfagas.

Fuera de Taiwán, los objetivos estaban principalmente en otras redes del sudeste y este de Asia, y a veces en África oriental, Asia central, Oriente Medio y Europa. Las personas que utilizan las propias redes de los operadores hackeados también pueden haber sido objetivo, pero la empresa no pudo ver ese tráfico.

La empresa detectó a SilentAir estudiando los ataques en los enlaces entre operadores. Desde principios de 2025, ha rastreado ataques inusuales, principalmente a través de SS7 y a veces Diameter, procedentes de algunos operadores asiáticos que normalmente no enviarían ataques. Análisis posteriores encontraron actividad sospechosa incluso antes.

Las redes que alojaban a SilentAir manejaron los mensajes de seguimiento para los objetivos desviados de maneras extrañas e inconsistentes, según el informe técnico de la empresa [enlace] .

Eso dejaba dos explicaciones: alguien externo estaba falsificando las direcciones de señalización de esas redes, o el equipo dentro de cada red había sido tomado.

La empresa vio entonces que el equipo dentro de un operador tanto enviaba como recibía comandos de ataque, lo que confirmó la segunda explicación. Ese equipo se comportaba exactamente como las fuentes de SilentAir en otras redes.

Detectar y bloquear los ataques fue difícil al principio porque los atacantes entendían bien las redes móviles y las defensas de señalización. Después de que los ataques fueron contenidos, la empresa recuperó rastros de acceso no autorizado. No pudo analizar el malware que cree que SilentAir utilizó.



El informe no nombra a los países, a los operadores ni a ninguno de los objetivos. En algunos países, los ataques de SilentAir provinieron de más de un operador.

SilentAir también envió SMS silenciosos a gran escala, principalmente a suscriptores en Taiwán. Se trata de textos que el teléfono no muestra ni alerta.

Durante el día, la mayoría de los SMS silenciosos fueron a suscriptores de otras redes, como las del sudeste asiático. Uno de sus usos principales parece haber sido comprobar si un desvío había funcionado, dijo la empresa.

Si el texto de prueba llegaba al equipo hackeado en lugar de al teléfono, los atacantes sabían que estaban recibiendo los textos de esa persona.

La mayoría de los SMS silenciosos salieron por la noche, y la mayoría de ellos fueron a personas en Taiwán. La empresa dijo que el propósito de esos mensajes no está confirmado. Podrían ser una comprobación masiva de que los desvíos anteriores seguían activos, ya que es menos probable que los teléfonos se vuelvan a registrar en su ubicación real por la noche.

Los textos silenciosos llevaban frases motivacionales o promocionales similares al spam, a menudo en inglés. La empresa cree que el texto era un disfraz. Si un operador en el camino eliminaba la configuración silenciosa de un mensaje, el destinatario lo vería como spam y lo ignoraría.

El vínculo de baja confianza de la empresa con China se basa en varias señales. SilentAir se centró en Taiwán y no atacó redes ni suscriptores chinos.

Sus ataques de rastreo e interceptación también siguieron una jornada laboral en UTC+8, que es la hora estándar de China. Comenzaban a las 9 a.m., casi se detenían los fines de semana y hacían pausas o se ralentizaban durante los días festivos chinos.

La empresa también consideró un vínculo con Liminal Panda, un grupo detrás de intrusiones anteriores en telecomunicaciones.

Llamó al vínculo "posible pero no confirmado" y no vincula a los dos grupos por ahora.

En varios operadores hackeados, los ataques de SilentAir ocurrieron durante una infección conocida de Liminal Panda. En otros momentos, los dos no mostraron signos de trabajar juntos. También fueron tras operadores en la misma parte de Asia, aunque Liminal Panda no tiene un enfoque conocido en Taiwán.



El comportamiento de SilentAir también coincide en parte con el de SCTPE, un troyano de Linux poco conocido que se ejecuta en el kernel y está diseñado para enviar y recibir tráfico SS7 y Diameter.

La Autoridad de Desarrollo de Medios de Información y Comunicación (IMDA) de Singapur ha descrito la misma herramienta en un aviso gubernamental [enlace] . Allí, la herramienta se llama SIGweaver. La agencia dijo que CrowdStrike la identificó el 21 de enero y la vincula a Liminal Panda con una confianza moderada.

Pero Enea dijo que SilentAir respondía a mensajes que él mismo no había enviado, algo que el programa SCTPE conocido no puede hacer. La seguridad operativa de SilentAir también parecía mucho mejor que la de Liminal Panda.

Independientemente, el cortafuegos GTP de la empresa ha detectado actividad de Liminal Panda en varios operadores clientes desde el primer trimestre de este año. La empresa bloqueó el tráfico GTPDoor del grupo allí y vio infecciones de Liminal Panda, o signos claros de ellas, en al menos 5 a 10 operadores.

La puerta trasera GTPDoor, documentada por primera vez el 27 de febrero de 2024, oculta comandos dentro de GTP-C, el protocolo que establece conexiones de datos móviles entre redes. La empresa también encontró evidencia de una nueva versión que oculta comandos en GTP-U, la parte de GTP que transporta los datos de los usuarios. El tráfico GTP-U es más difícil de inspeccionar, aunque la empresa cree que la nueva versión sirve principalmente como respaldo.

Lo que enea recomienda para los operadores

La empresa dijo que cualquier atacante podría reutilizar estas técnicas, y te dice a los operadores que:

* Desplieguen cortafuegos GTP-C y GTP-U y los configuren para compartir información con sus cortafuegos SS7 y Diameter.
* Vayan más allá de las recomendaciones básicas de la industria para la seguridad de la señalización.
* Traten a todo el IPX como no confiable.
* Añadan detección para protocolos de señalización dentro de sus propias redes.
* Conecten la seguridad de la señalización con el resto de su seguridad informática.

El informe no aconseja a las personas cuyas llamadas y textos puedan ser objetivo.

Fuente:
THN