LONDON (IT BOLTWISE) – Eine neu identifizierte Spionagegruppe soll über gehackte Zugänge in Mobilfunknetzen SS7- und Diameter-Signalisierung missbraucht haben. Laut einer Untersuchung eines schwedischen Unternehmens wurden dabei Umleitungen so angestoßen, dass für Zielpersonen SMS- und 2FA-Codes direkt abgefangen wurden. Einige Angriffe sollen außerdem mit „Silent SMS“ auf sehr große Empfängerzahlen hinweg verbunden gewesen sein. Unklar bleibt bislang, ob betroffene Netzbetreiber die kompromittierten Komponenten vollständig bereinigt haben.
Bei der Kommunikation über Mobilfunknetze wirkt ein Detail oft wie ein blinder Fleck: Zwischen den Betreibern werden Signale nicht einfach „abgespielt“, sondern über definierte Protokolle in eine gemeinsame Vermittlungslogik eingespeist. Genau dort, in SS7- und Diameter-Verbindungen, hat eine als SilentAir bezeichnete Gruppe nach Angaben des untersuchenden Unternehmens angesetzt. Ziel waren vor allem Nutzer in Taiwan; in ausgewählten Fällen trafen die Angriffe zudem politische und behördliche VIPs im jeweiligen Heimatland. Die Studie beschreibt SilentAir als Akteur mit staatlichem Hintergrund, ordnet die Aktivität jedoch nur mit geringer Sicherheit China zu.
Technisch setzt die Methode auf die Logik der Signalisierungsweiterleitung: Mobilfunkbetreiber nutzen SS7 und Diameter, um Routing-Informationen für Anrufe und Textnachrichten auszutauschen und Roaming zu ermöglichen. Diese Signalisierungsströme laufen dabei über ein übergreifendes Transport-Overlay namens IPX, das auf hoher gegenseitiger Vertrauensannahme zwischen Betreibern basiert. SilentAir soll die Angriffe aus kompromittierten Netzteilen direkt in dieses IPX eingespeist haben. Für die Umleitung braucht es dann eine zielgenaue Anweisung an das „Heimatnetz“ des Endgeräts: Entweder wird eine UpdateLocation-Nachricht gesendet oder eine passende Diameter-Entsprechung, die vorgaukelt, das gehackte Equipment bediene nun die Telefonnummer.
Wenn das Heimatnetz der Meldung vertraut, werden Call- und SMS-Anfragen für die Zielperson nicht mehr an den eigentlichen Anschluss weitergeleitet, sondern an die Angreifer. Die Untersuchung liefert dafür mehrere konkrete Indikatoren: In bestimmten Fällen beobachtete das Unternehmen 2FA-Codes, die unmittelbar nach dem Wirksamwerden der Umleitung abgefangen wurden. Das Muster deutet darauf hin, dass nicht nur Kommunikationsinhalte abgegriffen werden sollten, sondern dass die Codes als Schlüssel für den Versuch dienen könnten, weitere Konten zu übernehmen, die mit denselben Personen verknüpft sind. Auffällig ist außerdem die Verteilung der Angriffstypen: Abfangen (Interception) machte 18,3% der beobachteten SilentAir-Aktivitäten aus; in früheren Forschungen desselben Unternehmens lag der Anteil vergleichbarer Signalisierungsangriffe bei 2,1%.
Für die Erkennung und Eindämmung waren die Angreifer offenbar gut „netzspezifisch“ vorbereitet. Laut Bericht wurden die relevanten Spuren zunächst schwer sichtbar, weil SilentAir Signalisierungsmechanismen und Abwehrmaßnahmen offenbar kannte. Nach der Eindämmung sollen jedoch Rückstände unautorisierter Zugriffe sichtbar geworden sein; gleichzeitig sagt der Bericht, dass das Unternehmen das mutmaßlich verwendete Schadprogramm nicht im Detail analysieren konnte. Der Weg zur Gewissheit verlief über das Zusammenspiel mehrerer Indizien: Die Forscher sahen, dass „Folgenachrichten“ für umgeleitete Ziele in inkonsistenter und untypischer Weise verarbeitet wurden. Zwei Deutungen standen im Raum – gefälschte Signalisierungsadressen von außen oder kompromittierte Komponenten innerhalb der Operator-Netze. Erst als Ausrüstung in einem Betreiber-Netz sowohl Kommandos senden als auch Antworten empfangen konnte, galt die zweite Erklärung als bestätigt, und das Verhalten entsprach dem, was in anderen Netzen beobachtet wurde.
Darüber hinaus beschreibt die Analyse eine zweite Verhaltensschicht, die für Mobilfunkbetreiber besonders schwer zu erkennen sein kann: SilentAir soll „silent SMS“ in großem Maßstab versendet haben. Das sind Texte, die am Endgerät zwar ankommen, aber keine Anzeige oder Benachrichtigung auslösen. Über den Tag hinweg gingen viele dieser stillen SMS an Abonnenten in anderen Netzbereichen, unter anderem in Teilen Südost- und Ostasiens; in der Nacht überwogen Empfänger in Taiwan. Als Funktion nennt das Unternehmen vor allem Tests: Sobald eine Umleitung greift, sollte die „Prüf-SMS“ nicht das Zielgerät erreichen, sondern beim umleitenden Equipment auflaufen. Ein Teil der stillen Nachrichten wirkt dabei wie getarnter Werbe- oder Motivationsinhalt, häufig in englischer Sprache, möglicherweise um das Erkennen an Zwischenstationen zu erschweren.
Auch die Zuordnung bleibt differenziert. Die geringe China-Anbindung stützt sich laut Bericht unter anderem darauf, dass SilentAir primär Taiwan ins Visier nahm und keine chinesischen Netze oder Abonnenten gezielt angriff. Zudem sollen die Aktivitäten in einem Rhythmus verlaufen sein, der mit einem Arbeitstag in UTC+8 (China Standard Time) übereinstimmt: Start typischerweise um 9:00 Uhr, deutliche Abschwächung an Wochenenden und Pausen oder Verlangsamungen rund um chinesische Feiertage. Als weiterer Mosaikstein wird ein mögliches, aber nicht bestätigtes Umfeld zu Liminal Panda erwähnt, einem Cluster hinter früheren Telekom-Intrusionen; in mehreren kompromittierten Betreibern soll SilentAir zeitweise während einer bekannten Liminal-Panda-Infektion aufgetreten sein, allerdings nicht durchgängig. Abschließend empfiehlt das untersuchende Unternehmen für Betreiber, die Sicherheitsarchitektur über SS7- und Diameter-Abwehr hinaus zu erweitern: GTP-C- und GTP-U-Firewalls sollen eingesetzt und Daten zwischen den Signalisierungs- und Paketfilter-Ebenen geteilt werden. Vor allem fordert der Bericht, den gesamten IPX-Transport als untrusted zu betrachten und zusätzliche Detektion für Signalisierungsprotokolle innerhalb der eigenen Netze aufzubauen, damit Signalisierungs- und IT-Sicherheit nicht mehr getrennt voneinander geplant wird.
Für die Praxis bedeutet das: Wer Signalisierungsabsicherung nur als „Provider-zu-Provider“-Thema betrachtet, riskiert, dass eine kompromittierte interne Komponente die Vertrauensanker ausnutzt. Genau solche Umleitungs- und Testmechanismen haben in dieser Analyse messbar zu 2FA-Abgriffen geführt. Gleichzeitig zeigt das Timing von SilentAir, wie eng Angriffe mit betrieblichen Abläufen und Verkehrsprofilen korrespondieren können – ein Grund, warum Monitoring, das ausschließlich auf klassische Anomalien im Datenverkehr schaut, zu kurz greifen kann. Entscheidend ist damit weniger der einzelne Protokollschalter, sondern das Ende-zu-Ende-Modell: Signalisierung, Paketvermittlung und Endpoint-Auswirkungen müssen gemeinsam korreliert werden, damit aus einem „routing problem“ nicht erst dann ein Sicherheitsvorfall wird, wenn Konten bereits übernommen wurden.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SilentAir: Spionage über SS7 und Diameter zur Abgreifung von SMS-2FA" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SilentAir: Spionage über SS7 und Diameter zur Abgreifung von SMS-2FA" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SilentAir: Spionage über SS7 und Diameter zur Abgreifung von SMS-2FA« bei Google Deutschland suchen, bei Bing oder Google News!