Newshot 
一个新发现的间谍组织利用亚洲移动运营商内部被入侵的设备，拦截特定人员的通话和短信，目标大多在台湾。
总部位于斯德哥尔摩的电信与网络安全软件公司 Enea 在至少六个亚洲国家发现了该组织的攻击来源，并于本周将其命名为 SilentAir。该公司以高置信度评估 SilentAir 是国家级别的行为体，但仅以低置信度将其活动与中国联系起来。
该公司已告知相关运营商其在何处发现了 SilentAir 的来源。它表示 SilentAir 目前已被遏制，但可能会卷土重来。报告未说明这些运营商是否已清理被入侵的设备。
移动运营商使用 SS7 和 Diameter 协议交换信令消息，以路由通话和短信并支持漫游。这些流量经过一个名为 IPX 的共享网络，该网络依赖运营商之间的高度信任运行。SilentAir 从被入侵的设备向 IPX 发送攻击。
为实施拦截，SilentAir 向目标归属网络发送 UpdateLocation 消息，或其在 Diameter 中的对应消息。该消息声称被入侵的设备现在正在为目标的手机提供服务。如果归属网络接受该消息，该人员的通话和短信就会被转移到攻击者手中。
其中一些攻击奏效了。对于部分目标，该公司观察到在转移生效后，双因素认证（2FA）验证码立即被拦截。这表明有人试图入侵登记在这些人员名下的其他账户。
报告没有提供语音通话方面的类似证据，也未说明是否有任何账户被接管。
在 Enea 观察到的 SilentAir 攻击中，拦截占 18.3%。在该公司早前的研究中，对于典型的监控公司——即大多数信令攻击背后的那类公司——这一比例为 2.1%。
部分目标是其本国的政治和政府要人。在少数情况下，多个国家的 SilentAir 设备协同针对此类目标，该公司称这表明存在单一控制者。
攻击呈爆发式出现，从一个或少数用户到一个月内数千个用户不等，两次爆发之间间隔可达数月甚至更长。
在台湾以外，目标大多位于其他东南亚和东亚网络，有时也出现在东非、中亚、中东和欧洲。使用被入侵运营商自身网络的人员也可能成为目标，但该公司无法看到这部分流量。
该公司通过研究运营商之间链路上的攻击发现了 SilentAir。自 2025 年初以来，它追踪到来自一些通常不会发动攻击的亚洲运营商的可疑攻击，多为 SS7，有时为 Diameter。后续分析发现，可疑活动出现得更早。
根据该公司的技术报告，承载 SilentAir 的网络以古怪且不一致的方式处理被转移目标的后续消息。这留下两种解释：外部有人在伪造这些网络的信令地址，或者每个网络内部的设备已被接管。
该公司随后看到某运营商内部的设备既发送又接收攻击指令，从而证实了第二种解释。该设备的行为与其他网络中的 SilentAir 来源完全一致。
起初检测和阻断这些攻击很困难，因为攻击者精通移动网络和信令防御。在攻击被遏制后，该公司恢复了未经授权访问的痕迹。它无法分析其认为 SilentAir 所使用的恶意软件。
文章标题：SilentAir 劫持亚洲电信网络，拦截短信 2FA 验证码并监视台湾用户
正文：
该报告没有点名相关国家、运营商或任何目标。在一些国家，SilentAir 的攻击来自不止一家运营商。
SilentAir 还大规模发送了静默短信，主要针对台湾的订阅用户。这类短信不会在手机上显示，也不会触发提醒。
在白天，大多数静默短信发往其他网络的订阅用户，例如东南亚网络。该公司表示，其主要用途之一似乎是检查流量转移是否已经生效。
如果测试短信到达的是被入侵的设备而不是手机，攻击者就知道自己正在获取该用户的短信。
大多数静默短信在夜间发出，其中大部分发往台湾的用户。该公司表示，这些短信的目的尚未得到确认。它们可能是一次批量检查，用于确认此前的流量转移仍然有效，因为手机在夜间最不可能重新注册到其真实位置。
这些静默短信带有类似垃圾短信的励志或推广语句，通常为英文。该公司认为这些文字是一种伪装。如果途中某家运营商剥离了短信的静默设置，接收者会将其视为垃圾短信并忽略。
该公司与中国之间低置信度的关联建立在若干迹象之上。SilentAir 聚焦台湾，并未针对中国网络或用户。
其跟踪和拦截攻击还遵循 UTC+8 的工作日作息，即中国标准时间。它们在上午 9 点开始，周末几乎停止，并在中国节假日前后暂停或放缓。
该公司还考虑过与 Liminal Panda 的关联，后者是此前多起电信入侵事件背后的组织。该公司称这一关联有可能但未经证实，目前不将两个组织绑定在一起。
在多家被入侵的运营商中，SilentAir 的攻击发生在已知的 Liminal Panda 感染期间。在其他时候，两者没有协同工作的迹象。它们还针对亚洲同一地区的运营商，不过 Liminal Panda 并无已知的台湾关注点。
SilentAir 的行为也部分匹配 SCTPE，这是一种鲜为人知的 Linux 木马，运行在内核中，旨在发送和接收 SS7 与 Diameter 流量。
新加坡资讯通信媒体发展局（IMDA）在一份政府公告中描述了同一工具。在该公告中，该工具被称为 SIGweaver。该机构表示，CrowdStrike 于 1 月 21 日识别出它，并以中等置信度将其与 Liminal Panda 关联。
但 Enea 表示，SilentAir 回复了并非由它自己发送的消息，而已知的 SCTPE 程序无法做到这一点。SilentAir 的运营安全似乎也远比 Liminal Panda 要好。
另外，该公司的 GTP 防火墙自今年第一季度以来已在多家客户运营商处检测到 Liminal Panda 活动。该公司在那里拦截了该组织的 GTPDoor 流量，并在至少 5 到 10 家运营商中发现了 Liminal Panda 感染或其强烈迹象。
GTPDoor 后门最早记录于 2024 年 2 月 27 日，它将命令隐藏在 GTP-C 中，后者是用于在网络之间建立移动数据连接的协议。该公司还发现了新版本的证据，该版本将命令隐藏在 GTP-U 中，即 GTP 中承载用户数据的部分。GTP-U 流量更难检查，不过该公司认为新版本主要用作备份。
Enea 对运营商的建议
该公司表示，任何攻击者都可以重用这些技术，并告知运营商：
像 {{NAME_ab12cd34}} 这样的值是真实值的占位符。请在回复和工具调用中完全按照书写形式使用它们：它们会在任何内容运行之前被替换为真实值。不要要求验证它们，也不要用示例替换它们。
- 部署 GTP-C 和 GTP-U 防火墙，并将其配置为与自身的 SS7 和 Diameter 防火墙共享信息。
- 超越业界对信令安全的基本建议。
- 将整个 IPX 视为不可信。
- 在自身网络内增加对信令协议的检测。
- 将信令安全与其余 IT 安全体系连接起来。
该报告并未向通话和短信可能成为攻击目标的人群提供建议。