Hackers invadem redes de operadoras para interceptar códigos de autenticação por SMS

Um grupo de espionagem cibernética identificado como SilentAir comprometeu equipamentos de operadoras de telefonia móvel na Ásia para interceptar chamadas, mensagens SMS e códigos de autenticação de dois fatores (2FA). A campanha teve como principal alvo usuários de Taiwan, incluindo autoridades governamentais e figuras políticas de alto escalão.

A operação foi identificada pela Enea, empresa sueca especializada em telecomunicações e cibersegurança, que encontrou infraestrutura utilizada pelo grupo em pelo menos seis países asiáticos.

Os pesquisadores avaliam com alta confiança que o SilentAir possui capacidades associadas a operações patrocinadas por Estados. Entretanto, a possível ligação com a China foi classificada com baixo nível de confiança, sem evidências suficientes para atribuir definitivamente a campanha ao país.

A Enea notificou as operadoras envolvidas e informou que as atividades do grupo foram temporariamente interrompidas. Não está claro, porém, se todos os equipamentos comprometidos foram completamente recuperados.

Como o SilentAir interceptava chamadas e mensagens

O SilentAir explorava a infraestrutura de sinalização utilizada pelas operadoras para estabelecer chamadas, encaminhar mensagens e permitir o roaming internacional.

Os ataques utilizavam principalmente os protocolos SS7 e Diameter, responsáveis pela troca de informações entre redes móveis. Essas comunicações trafegam pela infraestrutura IPX, uma rede compartilhada que tradicionalmente opera com elevado nível de confiança entre operadoras.

Após comprometer equipamentos internos, os invasores enviavam mensagens fraudulentas de sinalização para redirecionar o tráfego de usuários selecionados.

Uma das técnicas envolvia o envio de mensagens UpdateLocation, ou comandos equivalentes no Diameter, informando falsamente à rede de origem que o telefone da vítima estava sendo atendido por outro equipamento.

Quando a operadora aceitava essa atualização, chamadas e mensagens destinadas ao usuário podiam ser encaminhadas para a infraestrutura controlada pelos hackers.

A investigação confirmou que algumas dessas tentativas foram bem-sucedidas. Em determinados casos, códigos de autenticação de dois fatores foram interceptados imediatamente após o redirecionamento das mensagens.

Esse comportamento sugere que os invasores pretendiam utilizar os códigos para acessar outras contas vinculadas às vítimas. O relatório, entretanto, não confirma invasões dessas contas nem apresenta evidências equivalentes de interceptação efetiva de chamadas de voz.

As tentativas de interceptação representaram 18,3% das atividades maliciosas atribuídas ao SilentAir. Em pesquisas anteriores da Enea, empresas de vigilância responsáveis por ataques semelhantes apresentavam uma proporção de apenas 2,1%.

Operação atingiu milhares de usuários e autoridades políticas

A campanha apresentou períodos de intensa atividade, alternados com intervalos de vários meses sem ataques identificados.

Em determinados momentos, os invasores direcionavam suas ações contra apenas um ou poucos assinantes. Em outros, os ataques alcançavam milhares de usuários durante um único mês.

A maioria dos alvos estava em Taiwan e em outras redes do Sudeste e Leste Asiático. Também foram identificadas atividades contra assinantes na África Oriental, Ásia Central, Oriente Médio e Europa.

Entre as vítimas selecionadas estavam autoridades governamentais e personalidades políticas de seus respectivos países.

Em situações menos frequentes, equipamentos comprometidos em diferentes países atuaram de maneira coordenada contra os mesmos alvos. Segundo a Enea, esse comportamento indica a existência de um controlador central.

A empresa ressalta que usuários das próprias operadoras comprometidas também podem ter sido afetados, mas esse tráfego não estava disponível para análise.

SilentAir utilizou SMS invisíveis para monitorar vítimas

Outra característica da campanha foi o envio de grandes quantidades de mensagens conhecidas como silent SMS, especialmente para assinantes de Taiwan.

Diferentemente das mensagens convencionais, esses SMS são processados pelo dispositivo sem aparecer na tela ou gerar notificações para o usuário.

Durante o dia, a maioria das mensagens era direcionada a assinantes de outras redes asiáticas. Segundo os pesquisadores, uma de suas principais funções parecia ser verificar se o redirecionamento de mensagens havia funcionado.

Caso o SMS de teste chegasse ao equipamento comprometido em vez do telefone original, os invasores conseguiam confirmar que estavam recebendo as mensagens destinadas à vítima.

Já durante a noite, o volume de mensagens aumentava principalmente contra usuários de Taiwan.

A Enea não conseguiu determinar definitivamente a finalidade dessa atividade, mas considera possível que os hackers estivessem verificando se redirecionamentos anteriores continuavam ativos, aproveitando períodos em que os aparelhos tinham menor probabilidade de atualizar sua localização na rede.

As mensagens continham frases promocionais ou motivacionais, frequentemente em inglês, semelhantes a conteúdos de spam.

Os pesquisadores acreditam que essa característica funcionava como disfarce. Caso alguma operadora removesse a configuração que tornava o SMS invisível, o destinatário poderia interpretar a mensagem como propaganda indesejada e ignorá-la.

Investigação identificou equipamentos comprometidos dentro das operadoras

A Enea começou a acompanhar atividades suspeitas no início de 2025, principalmente envolvendo mensagens SS7 e, ocasionalmente, Diameter, originadas de operadoras asiáticas que normalmente não apresentavam esse comportamento.

Análises posteriores identificaram indícios de ataques ainda mais antigos.

Inicialmente, os pesquisadores consideraram duas possibilidades: falsificação de endereços de sinalização por agentes externos ou comprometimento direto de equipamentos internos das operadoras.

A confirmação ocorreu quando a empresa identificou um equipamento dentro de uma rede móvel enviando e recebendo comandos relacionados aos ataques.

O dispositivo apresentava comportamento semelhante ao observado nas demais redes associadas ao SilentAir, confirmando que os invasores haviam obtido acesso à infraestrutura das operadoras.

A detecção inicial foi dificultada pelo conhecimento técnico dos responsáveis sobre protocolos móveis e mecanismos de proteção de sinalização.

Após a contenção dos ataques, a Enea recuperou vestígios de acesso não autorizado, mas não conseguiu analisar o malware que acredita ter sido utilizado.

O relatório não identifica os países, as operadoras ou as vítimas envolvidas.

Possível ligação com a China e o grupo Liminal Panda

A Enea identificou elementos que podem indicar uma conexão do SilentAir com interesses chineses, embora ressalte que a atribuição permanece incerta.

Um dos principais fatores é a concentração dos ataques em Taiwan, sem registros de redes ou assinantes chineses entre os alvos identificados.

Além disso, as atividades de rastreamento e interceptação seguiam uma rotina compatível com o fuso UTC+8, utilizado pela China.

As operações geralmente começavam por volta das 9h, diminuíam significativamente nos finais de semana e apresentavam interrupções ou redução de intensidade durante feriados chineses.

A investigação também examinou uma possível relação com o Liminal Panda, grupo anteriormente associado a invasões de operadoras de telecomunicações.

Em algumas redes, atividades do SilentAir ocorreram durante períodos em que havia infecções conhecidas do Liminal Panda. Entretanto, os pesquisadores também observaram operações sem sinais de colaboração entre os grupos.

Por enquanto, a Enea considera essa ligação possível, mas não confirmada.

Malware SCTPE e backdoor GTPDoor entram na investigação

Parte do comportamento do SilentAir apresentou semelhanças com o SCTPE, um trojan Linux pouco conhecido que opera no kernel e foi desenvolvido para enviar e receber tráfego SS7 e Diameter.

A ferramenta também foi descrita pela autoridade de telecomunicações de Singapura, a Infocomm Media Development Authority (IMDA), sob o nome SIGweaver.

Segundo o comunicado da agência, a CrowdStrike identificou a ferramenta em 21 de janeiro e a associou ao Liminal Panda com confiança moderada.

Entretanto, a Enea identificou diferenças técnicas importantes. O SilentAir conseguia responder a mensagens que não havia enviado originalmente, comportamento incompatível com as capacidades conhecidas do SCTPE.

Além disso, os operadores do SilentAir demonstraram práticas de segurança operacional aparentemente superiores às observadas nas campanhas do Liminal Panda.

Em uma investigação paralela, a Enea identificou atividades do Liminal Panda em diversas operadoras clientes desde o primeiro trimestre de 2026.

A empresa bloqueou comunicações do backdoor GTPDoor e encontrou infecções ou fortes indícios de comprometimento em pelo menos cinco a dez operadoras.

Documentado inicialmente em 27 de fevereiro de 2024, o GTPDoor utiliza o protocolo GTP-C, responsável pelo estabelecimento de conexões de dados móveis entre redes, para ocultar comandos maliciosos.

Os pesquisadores também encontraram evidências de uma nova versão que utiliza GTP-U, protocolo responsável pelo transporte dos dados dos usuários.

Como o tráfego GTP-U é mais difícil de inspecionar, essa técnica pode dificultar a identificação de comunicações maliciosas. A Enea, porém, acredita que a nova variante funcione principalmente como mecanismo de comunicação alternativo.

Enea recomenda mudanças na proteção das redes móveis

Diante das descobertas, a Enea alertou que as técnicas utilizadas pelo SilentAir não são exclusivas desse grupo e podem ser reproduzidas por outros invasores.

A empresa recomendou que operadoras adotem firewalls para GTP-C e GTP-U, integrados aos mecanismos de proteção de SS7 e Diameter, permitindo o compartilhamento de informações de segurança entre diferentes protocolos.

Também orientou as organizações a ultrapassarem os requisitos básicos de proteção de sinalização, tratarem toda a infraestrutura IPX como não confiável e ampliarem o monitoramento de protocolos dentro de suas próprias redes.

Outra recomendação envolve integrar a segurança de sinalização às demais ferramentas de proteção da infraestrutura de TI.

Embora a Enea tenha informado que as atividades do SilentAir foram interrompidas temporariamente, a empresa considera possível que o grupo retome suas operações. O relatório não apresenta orientações específicas para usuários que possam ter suas chamadas ou mensagens interceptadas.