Cum folosesc LIMINAL PANDA și SilentAir infrastructura globală de roaming pentru operațiuni de spionaj cibernetic.
Rețelele mobile sunt printre cele mai critice infrastructuri digitale din lume. Milioane de utilizatori se bazează zilnic pe acestea pentru apeluri, SMS-uri, roaming și acces la internet. Însă un nou raport publicat de Enea arată că amenințările nu vin doar din exterior, ci chiar din interiorul ecosistemului global de interconectare al operatorilor telecom. Cercetarea urmărește activitatea grupării LIMINAL PANDA și a unui actor nou identificat, denumit SilentAir, ambele asociate unor operațiuni de spionaj cibernetic cu posibile legături cu China.
Ce este LIMINAL PANDA?
LIMINAL PANDA este un grup de atacatori specializat în compromiterea infrastructurii telecom. Potrivit cercetătorilor de la CrowdStrike, gruparea este activă cel puțin din anul 2020 și demonstrează o cunoaștere profundă a protocoalelor și sistemelor utilizate de operatorii de telefonie mobilă.
Scopul principal al atacatorilor este colectarea de informații sensibile, inclusiv:
- date despre abonați;
- metadate ale apelurilor;
- mesaje SMS;
- informații despre localizarea utilizatorilor;
- date asociate roamingului internațional.
Spre deosebire de atacurile clasice care vizează utilizatorii individuali, LIMINAL PANDA urmărește compromiterea infrastructurii operatorilor telecom, ceea ce îi oferă acces la volume uriașe de informații.
Cine este SilentAir?
Raportul Enea evidențiază și existența unui nou actor de amenințare, numit SilentAir, observat în ultimii doi ani desfășurând activități suspecte la nivelul rețelelor de semnalizare mobilă. Cercetătorii consideră că tacticile utilizate și modelele operaționale indică posibile conexiuni cu operațiuni cibernetice sponsorizate de stat.
Deși informațiile publice despre SilentAir sunt mai limitate, activitatea acestui grup demonstrează că infrastructura globală de roaming continuă să fie o țintă strategică pentru actorii avansați.
De ce sunt vulnerabile rețelele mobile?
Pentru a permite roamingul internațional, operatorii telecom din întreaga lume sunt conectați printr-o infrastructură de interconectare bazată pe protocoale precum:
- SS7 pentru rețelele 2G și 3G;
- Diameter pentru LTE și 4G;
- HTTP/2 și tehnologii moderne pentru 5G;
- GTP pentru transferul traficului de date mobile.
Acest ecosistem a fost construit pe baza unui model de încredere între operatori. Problema este că, odată ce un atacator obține acces într-un punct al rețelei, poate exploata această încredere pentru a se deplasa lateral și pentru a accesa informații sensibile.
Situația este similară cu riscurile analizate în articolul GadgetFlux despre Smart Home fără cloud: este posibil?, unde încrederea excesivă într-un ecosistem poate crea vulnerabilități neașteptate.
Cum funcționează aceste atacuri?
Cercetările arată că LIMINAL PANDA utilizează instrumente specializate dezvoltate pentru mediul telecom. Acestea permit:
- capturarea traficului de semnalizare;
- scanarea infrastructurii de rețea;
- colectarea informațiilor despre abonați;
- stabilirea unor canale ascunse de comandă și control.
Conceptul este apropiat de modul în care funcționează unele atacuri avansate descrise în articolul Smart Home: pași esențiali de protecție, unde traficul aparent legitim poate ascunde activități malițioase.
Mai îngrijorător este faptul că atacatorii folosesc chiar protocoalele telecom legitime pentru a-și ascunde activitatea. Acest lucru face detectarea mult mai dificilă comparativ cu atacurile tradiționale asupra rețelelor IT.
Impactul asupra utilizatorilor
Deși ținta directă este infrastructura operatorilor, consecințele pot afecta milioane de utilizatori:
- monitorizarea locației;
- interceptarea comunicațiilor;
- colectarea metadatelor convorbirilor;
- compromiterea confidențialității roamingului internațional;
- atacuri împotriva infrastructurilor critice.
În contextul dezvoltării rețelelor 5G și al extinderii dispozitivelor conectate, inclusiv cele bazate pe IoT, protejarea infrastructurii devine esențială. Pentru a înțelege mai bine rolul acestor conexiuni, poți consulta și articolul Ce este un gateway IoT și când ai nevoie de el?.
Ce trebuie să facă operatorii telecom?
Enea avertizează că amenințările din zona roamingului și a semnalizării mobile nu mai sunt doar probleme teoretice. Operatorii trebuie să implementeze:
- monitorizare continuă a traficului de semnalizare;
- sisteme de detecție a anomaliilor SS7, Diameter și 5G;
- segmentarea infrastructurii critice;
- audituri regulate de securitate;
- colaborare internațională pentru schimbul de informații privind amenințările.
Concluzie
Raportul Enea privind LIMINAL PANDA și SilentAir evidențiază o realitate îngrijorătoare: infrastructura globală de comunicații mobile este o țintă strategică pentru actorii de spionaj cibernetic. Folosind chiar mecanismele care permit roamingul internațional, aceste grupuri pot obține acces la date sensibile și pot opera nedetectate perioade lungi de timp. Pe măsură ce rețelele 5G și serviciile conectate se extind, securitatea infrastructurii telecom va deveni la fel de importantă ca securitatea centrelor de date sau a sistemelor cloud.
