Enea hat die betroffenen Netzbetreiber darüber informiert, wo es SilentAir-Quellen gefunden hat. Die Gruppe sei vorerst gestört, könne aber zurückkehren, so das Unternehmen. Ob die Betreiber die kompromittierten Systeme inzwischen bereinigt haben, geht aus Eneas Bericht nicht hervor. Länder, Betreiber und Zielpersonen nennt Enea nicht. In einigen Ländern gingen Angriffe von mehr als einem Netzbetreiber aus.

Wie die Umleitung funktioniert

Mobilfunkbetreiber tauschen über die Protokolle SS7 und Diameter Signalisierungsnachrichten aus, die Anrufe und SMS vermitteln und Roaming ermöglichen. Dieser Verkehr läuft über ein gemeinsam genutztes Netz, das IPX, in dem die Betreiber einander weitgehend vertrauen. SilentAir speiste seine Angriffe von den gekaperten Systemen aus in dieses Netz ein.

Zum Abfangen schickte die Gruppe dem Heimatnetz der Zielperson eine UpdateLocation-Nachricht oder deren Diameter-Gegenstück. Darin wurde behauptet, das kompromittierte System versorge nun das Telefon der Zielperson. Akzeptierte das Heimatnetz die Nachricht, wurden Anrufe und SMS an die Angreifer umgeleitet. Einige dieser Angriffe gelangen. Dass bei manchen Zielen direkt danach 2FA-Codes abgefangen wurden, deutet laut Enea auf Versuche hin, in weitere Konten dieser Personen einzudringen. Vergleichbare Belege für abgefangene Sprachanrufe legt Enea nicht vor, und ob tatsächlich Konten übernommen wurden, bleibt offen.

Abfangangriffe machten 18,3 Prozent der von Enea beobachteten SilentAir-Angriffe aus. Bei einem typischen Überwachungsdienstleister – solche Firmen stecken hinter den meisten Signalisierungsangriffen – lag dieser Anteil in früheren Untersuchungen des Unternehmens bei 2,1 Prozent.

Ziele und Muster

Unter den Zielen befanden sich politische und behördliche Spitzenpersonen in ihren jeweiligen Ländern. In seltenen Fällen arbeiteten SilentAir-Systeme in mehreren Ländern gemeinsam gegen solche Ziele, was nach Eneas Einschätzung auf eine zentrale Steuerung hindeutet. Die Angriffe kamen in Wellen: Innerhalb eines Monats reichten sie von einem oder wenigen bis zu mehreren tausend Teilnehmern, dazwischen lagen Pausen von bis zu mehreren Monaten oder länger.

Außerhalb Taiwans lagen die Ziele vor allem in anderen süd- und ostasiatischen Netzen, zeitweise auch in Ostafrika, Zentralasien, dem Nahen Osten und Europa. Auch Kunden der gekaperten Betreiber selbst könnten ins Visier geraten sein; diesen Verkehr konnte Enea jedoch nicht einsehen.

Entdeckung über Verbindungen zwischen Netzbetreibern

Enea stieß auf SilentAir bei der Analyse von Angriffen auf die Verbindungen zwischen Betreibern. Seit Anfang 2025 verfolgte das Unternehmen ungewöhnliche Angriffe – meist über SS7, teils über Diameter – von asiatischen Betreibern, die normalerweise keine Angriffe aussenden. Spätere Analysen förderten verdächtige Aktivitäten aus noch früherer Zeit zutage.

Laut Eneas technischem Bericht gingen die Netze, in denen SilentAir saß, mit Folgenachrichten zu umgeleiteten Zielen auf merkwürdige und widersprüchliche Weise um. Damit blieben zwei Erklärungen: Entweder fälschte jemand von außen die Signalisierungsadressen dieser Netze, oder Systeme innerhalb der Netze waren übernommen worden. Als Enea beobachtete, wie ein System innerhalb eines Betreibers Angriffsbefehle sowohl sendete als auch empfing, war die zweite Erklärung bestätigt. Dieses System verhielt sich exakt wie SilentAir-Quellen in anderen Netzen.

Erkennen und Blockieren war anfangs schwierig, weil die Angreifer Mobilfunknetze und Signalisierungsabwehr gut verstanden. Nach der Eindämmung stellte Enea Spuren unbefugter Zugriffe sicher. Die Schadsoftware, die SilentAir nach Eneas Annahme eingesetzt hat, konnte das Unternehmen nicht analysieren.

Stille SMS als Kontrollinstrument

SilentAir verschickte zudem in sehr großem Umfang stille SMS, vor allem an Teilnehmer in Taiwan – Nachrichten, die das Telefon weder anzeigt noch meldet. Tagsüber gingen die meisten davon an Teilnehmer anderer, etwa südostasiatischer Netze. Ein Hauptzweck war offenbar, zu prüfen, ob eine Umleitung funktioniert hatte: Landete die Test-SMS beim gekaperten System statt beim Telefon, wussten die Angreifer, dass sie die Nachrichten dieser Person erhielten.

Die meisten stillen SMS wurden jedoch nachts verschickt, überwiegend an Menschen in Taiwan. Deren Zweck ist laut Enea nicht bestätigt. Möglicherweise dienten sie als Massenprüfung, ob frühere Umleitungen noch bestanden, da sich Telefone nachts am seltensten wieder an ihrem tatsächlichen Standort anmelden. Die Nachrichten enthielten spamartige Motivations- oder Werbesprüche, oft auf Englisch. Enea hält das für Tarnung: Entfernt ein Betreiber unterwegs die Stumm-Einstellung, sieht der Empfänger nur Spam und ignoriert ihn.

Spuren nach China und zu Liminal Panda

Die schwache Verbindung nach China stützt Enea auf mehrere Indizien. SilentAir konzentrierte sich auf Taiwan und griff keine chinesischen Netze oder Teilnehmer an. Ortungs- und Abfangangriffe folgten einem Arbeitstag in UTC+8, der chinesischen Standardzeit: Sie begannen um 9 Uhr, ruhten am Wochenende nahezu und wurden um chinesische Feiertage herum unterbrochen oder verlangsamt.

Geprüft hat Enea auch eine Verbindung zu Liminal Panda, einer Gruppe hinter früheren Einbrüchen bei Telekommunikationsunternehmen. Diese sei möglich, aber unbestätigt; vorerst ordnet das Unternehmen beide Gruppen nicht einander zu. In mehreren gekaperten Netzen fanden SilentAir-Angriffe während einer bekannten Liminal-Panda-Infektion statt, zu anderen Zeiten gab es keine Anzeichen einer Zusammenarbeit. Beide griffen Betreiber in derselben Region Asiens an, wobei Liminal Panda keinen bekannten Taiwan-Schwerpunkt hat.

Teilweise passt SilentAirs Verhalten zu SCTPE, einem wenig bekannten Linux-Trojaner, der im Kernel läuft und SS7- und Diameter-Verkehr senden und empfangen soll. Die singapurische Infocomm Media Development Authority (IMDA) hat dasselbe Werkzeug in einer Behördenwarnung unter dem Namen SIGweaver beschrieben. Nach Angaben der Behörde hat CrowdStrike es am 21. Januar identifiziert und ordnet es mit mittlerer Sicherheit Liminal Panda zu. Enea hält dagegen, dass SilentAir auf Nachrichten antwortete, die es nicht selbst verschickt hatte – das kann das bekannte SCTPE-Programm nicht. Zudem wirkte SilentAirs operative Sicherheit deutlich besser als die von Liminal Panda.

Neue GTPDoor-Variante

Unabhängig davon erkennt Eneas GTP-Firewall seit dem ersten Quartal dieses Jahres Liminal-Panda-Aktivitäten bei mehreren Kundenbetreibern. Enea blockierte dort den GTPDoor-Verkehr der Gruppe und stellte bei mindestens fünf bis zehn Betreibern Infektionen oder starke Hinweise darauf fest. Die am 27. Februar 2024 erstmals dokumentierte Hintertür GTPDoor versteckt Befehle in GTP-C, dem Protokoll, das mobile Datenverbindungen zwischen Netzen aufbaut. Enea fand zudem Belege für eine neue Version, die Befehle in GTP-U verbirgt, dem Teil von GTP, der Nutzerdaten transportiert. GTP-U-Verkehr ist schwerer zu prüfen; das Unternehmen geht aber davon aus, dass die neue Version vor allem als Rückfallebene dient.

Empfehlungen für Netzbetreiber

Da jeder Angreifer diese Techniken wiederverwenden könne, rät Enea Betreibern:

  • GTP-C- und GTP-U-Firewalls einzusetzen und so zu konfigurieren, dass sie Informationen mit den SS7- und Diameter-Firewalls teilen,
  • über die grundlegenden Branchenempfehlungen zur Signalisierungssicherheit hinauszugehen,
  • das gesamte IPX als nicht vertrauenswürdig zu behandeln,
  • Erkennung für Signalisierungsprotokolle auch im eigenen Netz einzurichten,
  • Signalisierungssicherheit mit der übrigen IT-Sicherheit zu verzahnen.

Ratschläge für Personen, deren Anrufe und SMS ins Visier geraten könnten, enthält der Bericht nicht.