SilentAir tấn công mạng viễn thông châu Á để chặn mã 2FA và theo dõi người dùng Đài Loan
"The SilentAir group compromised telecom equipment in Asian networks to intercept SMS 2FA codes and spy on users, primarily in Taiwan. Attacks leveraged SS7 and Diameter signaling protocols via the IPX network, diverting calls and texts to attacker-controlled equipment. While attribution is currently low confidence, activity patterns suggest potential links to China."
Cuộc tấn công của SilentAir cho thấy lỗ hổng nghiêm trọng trong an ninh mạng viễn thông. Việc chặn mã 2FA có thể dẫn đến xâm nhập tài khoản và đánh cắp dữ liệu.
Các nhà mạng có thể phải đối mặt với chi phí lớn để khắc phục lỗ hổng và tăng cường bảo mật hệ thống. Uy tín của họ cũng có thể bị ảnh hưởng nếu thông tin về cuộc tấn công bị tiết lộ.
Enea, một công ty phần mềm viễn thông và an ninh mạng có trụ sở tại Stockholm, phát hiện nhóm SilentAir tấn công các nhà mạng châu Á, chủ yếu nhắm vào người dùng Đài Loan. Họ khai thác các giao thức SS7 và Diameter thông qua mạng IPX (một mạng chia sẻ giữa các nhà mạng) để chuyển hướng cuộc gọi và tin nhắn đến thiết bị do kẻ tấn công kiểm soát.
Việc này ảnh hưởng trực tiếp đến bảo mật 2FA (xác thực hai yếu tố) của người dùng. Enea đánh giá đây là hoạt động của một nhóm do nhà nước tài trợ, nhưng liên kết với Trung Quốc vẫn chưa rõ ràng. Họ đã thông báo cho các nhà mạng bị ảnh hưởng, nhưng chưa rõ các nhà mạng này đã khắc phục xong chưa.
SilentAir sử dụng tin nhắn UpdateLocation (hoặc tương đương Diameter) để giả mạo rằng thiết bị bị hack đang phục vụ điện thoại của nạn nhân. Nếu mạng chấp nhận, mọi cuộc gọi và tin nhắn sẽ được chuyển đến kẻ tấn công. Một số cuộc tấn công thành công, và Enea quan sát thấy mã 2FA bị chặn ngay sau khi chuyển hướng, cho thấy mục đích là xâm nhập các tài khoản khác.
Theo báo cáo, 18.3% các cuộc tấn công của SilentAir là để chặn thông tin, cao hơn nhiều so với mức 2.1% của các công ty giám sát thông thường. Một số mục tiêu là các VIP chính trị và chính phủ. Trong một số trường hợp, thiết bị ở nhiều quốc gia phối hợp tấn công một mục tiêu duy nhất.
Ngoài Đài Loan, các mục tiêu khác nằm ở Đông Nam Á, Đông Á, Đông Phi, Trung Á, Trung Đông và Châu Âu. SilentAir cũng gửi tin nhắn SMS im lặng (không hiển thị hoặc thông báo) trên quy mô lớn, chủ yếu đến người dùng Đài Loan. Các tin nhắn này có thể dùng để kiểm tra xem việc chuyển hướng đã thành công hay chưa. Tin nhắn thường chứa nội dung quảng cáo hoặc động viên bằng tiếng Anh, có thể là để che giấu mục đích thực.
Câu hỏi thường gặp
SilentAir là gì?
SilentAir là một nhóm gián điệp mạng đã tấn công các nhà mạng châu Á để chặn tin nhắn và cuộc gọi của người dùng, chủ yếu ở Đài Loan. Enea đánh giá đây là hoạt động của một nhóm do nhà nước tài trợ.
Các giao thức SS7 và Diameter được sử dụng như thế nào trong cuộc tấn công?
SilentAir khai thác các giao thức SS7 và Diameter để chuyển hướng cuộc gọi và tin nhắn đến thiết bị do chúng kiểm soát. Các giao thức này được sử dụng để trao đổi thông tin định tuyến giữa các nhà mạng.
Tin nhắn SMS im lặng được sử dụng để làm gì?
SilentAir gửi tin nhắn SMS im lặng để kiểm tra xem việc chuyển hướng cuộc gọi và tin nhắn đã thành công hay chưa. Tin nhắn này không hiển thị trên điện thoại của người dùng, nhưng kẻ tấn công có thể xác nhận rằng chúng đang nhận được tin nhắn của nạn nhân.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc SilentAir tập trung vào Đài Loan và hoạt động theo giờ UTC+8 (giờ chuẩn Trung Quốc) cho thấy khả năng liên quan đến Trung Quốc. Doanh nghiệp Việt Nam, đặc biệt là các công ty tài chính và viễn thông, nên xem xét kỹ lưỡng bảo mật hệ thống SS7 và Diameter. Các nhà mạng cần tăng cường giám sát lưu lượng IPX để phát hiện các hoạt động bất thường. Điều đáng chú ý là việc phát hiện và ngăn chặn các cuộc tấn công này rất khó khăn do kẻ tấn công hiểu rõ về mạng di động và các biện pháp phòng thủ.