Акторы компрометируют сети операторов для атак через роуминг
Исследователи описали две связанные с Китаем угрозы для сетей мобильных операторов и глобальной инфраструктуры IPX-интерконнекта: деятельность известной группировки LIMINAL PANDA и недавно выявленного актора SilentAir. Связь SilentAir с LIMINAL PANDA пока не подтверждена. Обе стороны компрометируют узлы операторских сетей и используют доверительные отношения в роуминге и сигнализации для атак на других операторов и абонентов.
Инструменты и активность LIMINAL PANDA
LIMINAL PANDA применяла GTPDoor, имплант удалённого доступа для Unix/Linux, который скрывает связь в трафике протокола GTP. Во время наблюдаемой активности исследователи зафиксировали сотни попыток установить управляющие сессии. Также отмечались создание туннелей для эксфильтрации данных, горизонтальное перемещение внутри компании, выполнение команд через SSH, проверка процессов и хостов, проверка работоспособности вредоносного ПО, удаление файлов и каталогов и подделка временных меток.
Расследователи выявили от пяти до десяти заражённых операторов. По их оценке, затронуты могут быть ещё несколько десятков компаний, в частности в Азии, Африке и Латинской Америке. Скомпрометированные операторы использовались для создания туннелей между узлами GGSN или другими узлами, ориентированными на IPX, а также для эксфильтрации информации.
Более новый вариант импланта называется GTPDoor v3, или GTP-U-Door. Он использует GTP-U вместо GTP-C. Трафик этого варианта сложнее анализировать, так как GTP-U переносит большие объёмы инкапсулированных данных и включает несколько протокольных уровней. GTPDoor v3 сохраняет ключ XOR и возможность настраивать ключ, доступные в предыдущих версиях, но захватывает пакеты с помощью libpcap вместо raw-сокетов. По оценке исследователей, это потенциально снижает видимость импланта в таких инструментах, как netstat и lsof. По всей видимости, вариант преимущественно служит резервным способом связи.
Атаки SilentAir на абонентов
SilentAir скомпрометировала сетевые узлы как минимум в шести странах Азии и использовала их для атак по протоколам SS7 и Diameter на абонентов более чем в дюжине стран и территорий. Основной целью группы был Тайвань. В ходе операций SilentAir собирала информацию об абонентах, извлекала векторы аутентификации и отслеживала местоположение. Группа также выполняла вредоносные процедуры Update Location для перехвата голосовых вызовов и SMS и массово рассылала тихие SMS.
Вскоре после некоторых инцидентов перехвата фиксировались перехваченные коды двухфакторной аутентификации. Это указывает на возможные попытки получить доступ к учётным записям пострадавших. Тихие SMS группа применяла также для проверки, продолжается ли перехват, и подтверждения соединения. Для сокрытия активности использовались промежуточные SMS-центры и содержание сообщений, имитировавшее спам.
Активность SilentAir была нерегулярной и целенаправленной, а с операционной точки зрения соответствовала деятельности государственного актора. Возможные связи с LIMINAL PANDA включают совпадения во времени использования инфраструктуры, пересечение целей среди операторов и применение инструмента инъекции SCTPE для SS7 и Diameter. Однако различия в наблюдаемой обработке транзакций и мерах оперативной безопасности (OPSEC) не позволяют подтвердить связь между группировками.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
