یک عامل تهدید (Threat Actor) در سطح دولتی از اپراتورهای موبایل متاساو در آسیا برای شنود تماس‌ها و پیام‌های متنی، به‌ویژه کاربران تایوانی، استفاده کرده است.
تحلیل فعالیت‌های SilentAir
این عامل تهدید که SilentAir نامیده شده، حملاتی را از طریق پروتکل‌های Signaling System No. 7 (SS7) و Diameter از تجهیزات ربوده شده در اپراتورهای حداقل شش کشور آسیایی اجرا کرده است. این عملیات اهدافی را در بیش از دوازده کشور و منطقه هدف قرار داده است.
- شنود و دسترسی: حدود ۱۸.۳۰٪ از فعالیت‌های این گروه مربوط به شنود بوده است که در مقایسه با شرکت‌های نظارتی معمول، نرخ بسیار بالاتری است.
- دور زدن 2FA: در برخی موارد، کدهای احراز هویت دو مرحله‌ای (2FA) بلافاصله پس از شروع شنود دریافت شده‌اند که نشان‌دهنده هدف نفوذ به حساب‌های کاربری دیگر است.
- پیامک‌های خاموش: ارسال Silent SMS (پیامک‌هایی که در گوشی نمایش داده نمی‌شوند) به‌طور گسترده برای کاربران تایوانی در ساعات نیمه‌شب مشاهده شده است.
گروه Liminal Panda و بدافزار GTPDoor
در کنار این فعالیت‌ها، گروه Liminal Panda نیز اپراتورهای موبایل را هدف قرار داده است. این گروه از یک بک‌دور (Backdoor) یونیکسی به نام GTPDoor استفاده می‌کند که ترافیک فرمان و کنترل (C2) خود را در پروتکل GPRS Tunneling Protocol (GTP) پنهان می‌کند.
نسخه جدیدی از GTPDoor شناسایی شده است که از GTP-U (بخش مربوط به داده‌های کاربر) استفاده می‌کند. این ترافیک به دلیل حجم بسیار بالا، کمتر مورد نظارت قرار می‌گیرد و برخلاف بخش کنترلی، در شبکه‌های 5G نیز قابل انتقال است و احتمالاً به عنوان یک مسیر جایگزین (Fallback) برای حفظ ارتباطات عمل می‌کند.
تحلیل منشأ حملات
با توجه به تمرکز بر تایوان، عدم هدف قرار دادن چین، ساعات کاری منطبق با منطقه زمانی چین و توقف فعالیت‌ها در تعطیلات رسمی این کشور، احتمال ارتباط این عملیات با چین وجود دارد، هرچند این تحلیل با سطح اطمینان پایین (Low Confidence) ارائه شده است. برخی از اهداف این حملات، شخصیت‌های سیاسی و مقامات دولتی (VIPs) بوده‌اند.
