Onderzoekers van Enea hebben een nieuwe spionagegroep geïdentificeerd die SilentAir onderschept SMS en ook twee-factor codes kan meegrissen. De aanvallen lijken vooral gericht op geselecteerde slachtoffers, met een sterke focus op Taiwan. Daarbij misbruikt de groep gehackte componenten binnen netwerken van mobiele operators om oproepen en berichten via telecomsignalen te omleiden.
Het gevaar zit niet alleen in het afluisteren van berichten. Zodra 2FA-codes worden onderschept, kan dat het pad openen naar pogingen om accounts van slachtoffers over te nemen. Tegelijk benadrukt het rapport dat operators al maatregelen hebben genomen om de aanvalspatronen te verstoren, maar dat de dreiging kan terugkeren.
Wat doet SilentAir precies?
De kern van de aanval draait om hoe mobiele operators signalen uitwisselen. Voor het routeren van oproepen en teksten gebruiken telecomnetwerken onder meer SS7 en Diameter. Deze signaalverkeer-stromen lopen via een gedeeld infrastructuurnetwerk, het IPX, dat tussen operators vaak op vertrouwen is ingericht.
SilentAir stuurde aanvallen vanuit gehackte apparatuur richting het IPX. Wanneer de signalen door het netwerk worden geaccepteerd, kan het systeem geloven dat een telefoon zich op een andere locatie of in een ander netwerk bevindt. Daardoor kan verkeer voor een doelwit worden afgeleid naar de aanvaller.
Omleiding via locatie-update berichten
Voor de onderschepping gebruikte SilentAir een berichttype waarmee een thuisnetwerk wordt verteld dat de telefoon zich nu in een ander netwerk bevindt. In het rapport heet dit de UpdateLocation boodschap, met een equivalente variant in Diameter.
Na aanvaarding door het thuisnetwerk worden oproepen en sms-berichten van die persoon omgeleid. In een deel van de gevallen observeerde Enea dat 2FA-codes kort daarna werden onderschept.
Waarom is dit zo ernstig: 2FA-codes worden meteen geraakt
Een belangrijk signaal in het rapport is dat Enea bij sommige doelen 2FA-codes zag die vrijwel direct na het moment van omleiding werden onderschept. Dat wijst op een gerichte poging om de extra verificatiestap te omzeilen, met als mogelijk gevolg dat aanvallers zich toegang kunnen verschaffen tot andere accounts die gekoppeld zijn aan het telefoonnummer van het slachtoffer.
De onderzoekers geven wel aan dat er geen vergelijkbaar bewijs is gevonden voor het onderscheppen van spraakoproepen. Ook wordt niet bevestigd of er daadwerkelijk accounts zijn overgenomen; het gaat primair om het vermogen om verificatiestromen te onderscheppen.
Hoe vaak en in welke mate: een deel van het signalement
In de waarnemingen van Enea maakte onderschepping van oproepen en teksten ongeveer 18,3% uit van de door SilentAir uitgevoerde aanvallen. In een eerdere onderzoeksset van Enea lag dat aandeel voor een “typisch surveillance”-bedrijf rond 2,1%.
Dat verschil suggereert dat SilentAir verder ging dan alleen algemene surveillancetechnieken. De focus op het beïnvloeden van de signaalafhandeling lijkt nadrukkelijk onderdeel van hun operationele aanpak.
Groepsaanpak en timing: bursts, pauzes en samenwerking
De aanvallen kwamen niet continu. Enea beschrijft aanvallen in bursts: in sommige periodes vanaf één of enkele abonnees, en soms oplopend tot meerdere duizenden binnen ongeveer een maand. Daarna volgden pauzes die konden variëren van weken tot zelfs meerdere maanden.
Daarnaast noemt het rapport dat doelen in zeldzame gevallen mogelijk werden aangepakt met apparatuur in meerdere landen tegelijk. Dat ondersteunt de gedachte aan één beheerlaag of controller die het gedrag in verschillende regio’s coördineert.
“Silent SMS”: berichten die de telefoon niet laat zien
Naast het omleiden van verkeer naar een doelwit ontdekte Enea dat SilentAir ook silent SMS verzond op grote schaal. Dat zijn teksten die doorgaans niet op het scherm van de ontvanger verschijnen en geen duidelijke melding geven.
Volgens het rapport gingen veel silent SMS richting Taiwan. Gedurende de dag werden veel daarvan ook naar abonnees op andere netwerken gestuurd in delen van Zuidoost- en Oost-Azië. Eén van de hoofddoelen lijkt te zijn om te testen of een omleiding daadwerkelijk “werkt”.
Als zo’n testbericht bij de gehackte infrastructuur terechtkomt in plaats van op de daadwerkelijke telefoon, dan kan de aanvaller afleiden dat de omleiding en afhandeling goed verlopen. De onderzoekers beschrijven dat veel silent teksten ’s nachts werden verstuurd, met als mogelijke achterliggende reden dat telefoons dan minder vaak re-registeren naar hun echte locatie.
Opvallend is ook het camouflerende karakter: de berichten bevatten vaak promotionele of “motivational” zinnen in het Engels. Enea vermoedt dat dit als vermomming dient. Als operators tussenstations de “silent”-eigenschap verwijderen, zou het bericht als spam worden gezien, waardoor slachtoffers het eerder zouden negeren.
Waar Enea de sporen vond: signalering tussen operators
Enea zegt SilentAir te hebben ontdekt door het analyseren van aanvallen op de verbindingen tussen operators. Vanaf begin 2025 werden ongebruikelijke aanvallen gemeten, vooral over SS7 en soms via Diameter, afkomstig van operators die dat gedrag niet normaal zouden vertonen.
Bij latere analyse bleken er ook al signalen te zijn vóór die periode. Verder rapporteert Enea dat de netwerken waar SilentAir signalen vervolgde opvallend en inconsistent reageerden. Dat leverde twee scenario’s op: of iemand buiten de netwerken vervalste adressen, of de apparatuur binnen meerdere netwerken was overgenomen.
Het tweede scenario kreeg steun doordat Enea apparatuur binnen één operator zag die zowel verstuurde als ontving wat nodig was om de aanvallen uit te voeren. Dat gedrag bleek overeen te komen met SilentAir-bronnen in andere netwerken.
Context: mogelijk verbanden met andere groepen
Over attributie blijft het rapport voorzichtig. Enea beoordeelt het als “high confidence” dat het om een actor op staatsniveau gaat, maar koppelt die activiteit met lage zekerheid aan China. Die inschatting baseert Enea onder meer op het feit dat de focus op Taiwan ligt en dat Chinese netwerken of abonnees niet de primaire doelen leken.
Ook is er gekeken naar timing in UTC+8 (China Standard Time): de aanvallen startten rond 09:00, stopten bijna in het weekend en pauzeerden of vertraagden rond Chinese feestdagen. Verder noemt Enea dat ze een mogelijk verband hebben overwogen met Liminal Panda, eerder gelinkt aan telecomintrusies, maar zonder dat er nu een harde koppeling wordt bevestigd.
Wat Enea adviseert aan operators
Omdat de technieken herbruikbaar kunnen zijn, heeft Enea aanbevelingen gedeeld met mobiele operators. Samengevat komt het neer op het herontwerpen van vertrouwen, inspectie en detectie in de hele keten van signalering.
- Firewalls voor GTP-C en GTP-U inzetten en informatie delen met de SS7- en Diameter-firewalls.
- Verder gaan dan alleen de basisaanbevelingen voor signaalbeveiliging.
- Het volledige IPX beschouwen als een niet-vertrouwde omgeving.
- Detectie toevoegen voor signaleringsprotocollen binnen het eigen netwerk.
- Signaleringsbeveiliging verbinden met de bredere IT-security strategie.
Een praktische les: containment gaat niet alleen over het blokkeren van bekende patronen. Het vraagt ook om het kunnen zien van ongebruikelijke signaalafhandeling binnen de operator-omgeving zelf.
Als je breder wilt kijken naar het afkappen van aanvallen en containment bij misbruik van geautomatiseerde systemen, is dit artikel relevant: AI-agent stoppen: zo reageer je bij misbruik.
Wat betekent dit voor organisaties en gebruikers?
Voor gebruikers is het risico vooral indirect: als aanvallers 2FA-codes via sms kunnen onderscheppen, wordt een telefoonnummer-gebonden login kwetsbaarder. Het rapport geeft echter geen specifieke adviezen voor mensen wiens oproepen en teksten mogelijk doelwit zijn.
Voor IT- en securityteams bij organisaties met kritieke accounts draait de belangrijkste vraag om veerkracht: hoe snel detecteer je onverklaarbare verificatiepogingen en hoe bescherm je accounts wanneer de telecomlaag niet meer te vertrouwen is?
Operators en hun partners zullen bovendien moeten nadenken over hoe ze signaleringsverkeer beter kunnen monitoren en niet alleen “op afstand” blokkeren. De signaleringslaag is immers een toegangspoort tot wie waarheen berichten en verificatiestromen krijgen.
Conclusie: onderschepping via SS7/Diameter blijft een reëel dreigingspad
SilentAir onderschept SMS door gehackte telecomapparatuur in te zetten om signalen te manipuleren via SS7 en Diameter. In een deel van de aanvallen zag Enea 2FA-codes die direct na omleiding werden onderschept—een teken dat de kans op accountcompromisering serieus is, ook al wordt in het rapport niet bevestigd dat accounts daadwerkelijk zijn overgenomen.
De boodschap voor de sector is helder: behandel het signaalverkeer niet als vertrouwde infrastructuur en versterk zowel firewalls als detectie op het juiste niveau. Tegelijk geldt dat zelfs na containment sporen kunnen terugkeren; daarom is het belangrijk om de monitoring doorlopend op orde te hebben.
Bron: https://thehackernews.com/2026/11/silentair-hijacks-asian-telecom.html
