Ele geçirilmiş Asya telekom altyapısı Tayvanlı abonelerin arama ve SMS'lerini dinlemek için kullanıldı; Enea SilentAir'i ifşa etti
Telekom güvenlik şirketi Enea, en az altı Asya ülkesindeki operatörlerde ele geçirilmiş ekipmanlardan SS7 ve Diameter saldırıları yürüten SilentAir adlı grubu raporladı. Grup ağırlıklı olarak Tayvanlı aboneleri hedefledi; bazı hedeflerde dinlemeyle eş zamanlı 2FA kodları geldi.
Telekom yazılımı ve güvenliği alanında çalışan Enea, 11 Kasım'da yayımladığı araştırmada SilentAir adını verdiği bir threat actor'ı tanımladı. Infosecurity Magazine'in aktardığına göre grup, en az altı Asya ülkesindeki operatörlerde ele geçirilmiş ekipmanları kullanarak SS7 ve Diameter sinyalleşme saldırıları yürüttü; hedefler bir düzine ülke ve bölgeye yayıldı. Saldırıların ağırlık merkezi Tayvanlı aboneler; bazıları siyasi ve kamu alanında üst düzey kişiler. Enea, haberde operatör adı vermedi.
Enea, grubun devlet düzeyinde çalıştığından "yüksek güvenle" emin olduğunu, Çin bağlantısını ise yalnızca düşük güvenle öne sürdüğünü belirtiyor. Gerekçeler: hedeflerin Tayvan'da yoğunlaşması, Çin'de hedef olmaması, mesai saatlerinin Çin saat dilimine uyması ve Çin tatillerinde aktivitenin düşmesi.
Dinleme oranı neden dikkat çekici?
Enea'ya göre SilentAir'in aktivitesinin yüzde 18,30'u doğrudan arama/mesaj dinlemesi (interception). Sinyalleşme saldırılarının büyük kısmını yürüten gözetim şirketlerinde bu oran yüzde 2,07. Bazı hedeflerde dinleme başladıktan kısa süre sonra 2FA kodlarının gelmesi, araştırmacılara göre amacın başka hesaplara girmek olduğuna işaret ediyor. Geri kalan trafiğin çoğu, kullanıcıya görünmeyen ve konum tespiti için kullanılan silent SMS; bunlar çoğunlukla gece yarısı civarında Tayvanlı kullanıcılara gönderildi. Dalgalar, bir ayda birkaç aboneden birkaç bine kadar değişti.
Liminal Panda ve GTPDoor
Raporun ikinci ayağı, CrowdStrike'ın 2024'te yine düşük güvenle Çin bağlantılı saydığı Liminal Panda. Grubun kullandığı GTPDoor adlı Unix backdoor, komuta-kontrol trafiğini GTP (GPRS Tunneling Protocol) içine gizliyor. Enea, GTP-U üzerinden çalışan ve 5G'ye de taşınabilen yeni bir sürüm tespit etti. Şirketin firewall'ları 2026 başından bu yana birkaç müşteri operatörde yüzlerce C2 denemesini engelledi. Liminal Panda'nın en az 5–10 operatöre bulaştığı, bu sayının birkaç düzineye çıkabileceği belirtiliyor; enfeksiyonlar Asya, Afrika ve Latin Amerika'da yoğun. Enea iki grup arasında olası ama kanıtlanmamış bir bağ görüyor.
Ne yapılmalı?
- Operatörler SS7, Diameter ve GTP sinyalleşme trafiğini firewall ve anomali izlemesiyle denetlemeli; roaming ortaklarından gelen dinleme ve konum sorgularını ayrıca incelemeli.
- GTP trafiği içinde beklenmeyen kontrol mesajları ve Unix tabanlı ağ elemanlarında tanımsız süreçler için Enea ve CrowdStrike raporlarındaki göstergelerle threat hunting yapılmalı.
- Kurumlar, özellikle yöneticiler ve kamu personeli için SMS ile gelen 2FA yerine uygulama tabanlı doğrulama veya donanım anahtarı kullanmalı.
- Hassas görüşmeler için uçtan uca şifreli uygulamalar tercih edilmeli; klasik arama ve SMS'in operatör altyapısında dinlenebildiği unutulmamalı.
