Хакеры превратили сети мобильных операторов в инфраструктуру для международного шпионажа. Исследователи обнаружили скрытый перехват звонков и SMS, слежку за абонентами и новый вредонос, который позволяет управлять заражённым оборудованием через обычный мобильный трафик.
Специалисты Enea раскрыли деятельность двух группировок, Liminal Panda и ранее неизвестной SilentAir. Первая связана с Китаем и специализируется на взломе телекоммуникационных сетей. Вторая использует заражённые узлы операторов для атак на абонентов по всему миру. Связь SilentAir с китайскими операциями исследователи оценивают с низкой уверенностью, а её причастность к Liminal Panda пока не доказана.
С начала 2026 года Enea зафиксировала несколько сотен попыток скрытого управления через вредонос GTPDoor. Следы заражения обнаружены как минимум у 5–10 мобильных операторов, а предполагаемое число пострадавших компаний может достигать нескольких десятков. Основные регионы активности включают Азию, Африку и Латинскую Америку. Часть атак удалось заблокировать с помощью специализированных межсетевых экранов.
Liminal Panda использует протокол GTP, который обеспечивает передачу данных в мобильных сетях. Исследователи обнаружили новую версию GTPDoor v3, работающую через GTP-U вместо прежнего GTP-C. Вредонос прячет команды внутри пользовательского трафика, объёмы которого значительно выше. Такой канал сложнее анализировать, а операторы традиционно уделяют его защите меньше внимания.
Группировка SilentAir действует иначе. С помощью протоколов SS7 и Diameter злоумышленники подменяют служебные сведения о местоположении абонентов, чтобы перехватывать звонки и сообщения. Enea обнаружила подозрительные сетевые узлы операторов как минимум в шести азиатских странах. Атаки затронули абонентов ещё примерно десятка стран и территорий, прежде всего Тайваня.
Особое внимание привлекли невидимые SMS, которые не появляются на экране телефона. SilentAir отправляла такие сообщения преимущественно около полуночи, вероятно, проверяя сохранность доступа к абонентам. Некоторые SMS содержали безобидные пожелания здоровья и счастья. Если промежуточный оператор снимал признак скрытого сообщения, получатель видел обычный текст и вряд ли замечал подозрительную активность.
В отдельных случаях исследователи наблюдали получение кодов двухфакторной аутентификации сразу после перехвата SMS. Среди целей SilentAir встречались высокопоставленные представители государственных и политических структур. В исследовании Enea также описаны совпадения во времени атак обеих группировок, хотя прямых доказательств совместной работы пока нет.
Опасность подобных операций связана с самой архитектурой международного роуминга. Доступ к инфраструктуре одного оператора открывает возможности для взаимодействия с сетями других компаний через IPX. Ранее атаки Liminal Panda уже связывали с использованием DNS-туннелей и специализированных инструментов для проникновения в телекоммуникационные системы. Enea рекомендует проверять весь межоператорский трафик, включая GTP-U, и отказаться от безусловного доверия партнёрским сетям.
