SilentAir is de naam van een dreigingsgroep die volgens Enea via gecompromitteerde onderdelen van telecomnetwerken telefoonverkeer en berichten onderschept. In de berichtgeving ligt de focus vooral op Taiwan, maar het onderzoek beschrijft een bredere geografische reikwijdte. De kern: aanvallen die niet alleen data afpakken, maar ook communicatie kunnen omleiden en kenmerken van eerdere onderscheppingen kunnen verifiëren.
Omdat dit type aanvallen raakt aan de infrastructuur tussen mobiele operators, is het risico voor slachtoffers niet beperkt tot “een gehackte app”. Het gaat om het verstoren of misbruiken van het netwerk zelf.
Wat is SilentAir?
Enea onderzoekt een tot dan toe onbekende actor en volgt die als SilentAir. De telecom- en cybersecuritypartij stelt met hoge zekerheid dat het om een nieuw state-level opererend collectief gaat. Daarnaast noemt Enea een mogelijke koppeling met China-nexus-activiteiten, maar dat verband krijgt slechts lage vertrouwen in het rapport.
Die inschatting is vooral gebaseerd op observaties rond doelwitten en timing. Enea ziet onder meer veel aandacht voor Taiwan, terwijl het niet dezelfde patronen richting Chinese targets terugziet. Ook zou het aanvalstempo passen bij werkdagen in de tijdzone van China.
Hoe onderschept SilentAir gesprekken en sms?
SilentAir zet zijn aanvallen op via netwerkknopen die het heeft overgenomen bij mobiele operators. Vanuit die posities richt de groep zijn “signaling attacks” op het pad waar communicatie wordt aangestuurd.
SS7 en soms Diameter
Volgens Enea worden de meeste aanvallen uitgevoerd via SS7. In sommige gevallen gebruikt SilentAir Diameter. Beide systemen spelen een rol in het signaleringsverkeer van mobiele netwerken: het deel van de communicatie dat aangeeft hoe berichten en gesprekken moeten worden gerouteerd.
Door een node te kapen, kan SilentAir inkomende oproepen en sms-berichten omleiden via het gecompromitteerde knooppunt. Daar verzamelt de aanvaller gegevens over abonnees en kan hij verkeer “meepakken” voordat het op de bestemming aankomt.
Locatie volgen is aanwezig, maar niet de hoofdrol
Enea geeft aan dat SilentAir ook locaties kan volgen. Toch maakt dat volgens de onderzoekers slechts een relatief klein deel uit van de activiteit. Het zwaartepunt ligt bij het onderscheppen en vergaren van informatie uit het communicatiestroom.
Stille sms: controleren of eerdere onderschepping werkte
Een opvallend onderdeel van de aanpak is het gebruik van silent SMS. Deze berichten zouden niet zichtbaar zijn op het toestel van de ontvanger. Enea ziet de silent messages als een manier om te bepalen of eerdere pogingen tot interceptie succesvol waren.
Met andere woorden: naast het afluisteren of omleiden van communicatie gebruikt SilentAir signalen om zijn eigen effectiviteit te testen, zonder dat het slachtoffer direct merkt dat er iets gebeurt.
Vanaf begin 2025 gevolgd door Enea
Enea meldt dat het de aanvallen al sinds begin 2025 heeft gemonitord. In de loop van het onderzoek ontdekte het bedrijf ook aanwijzingen voor verdachte activiteiten van eerder dan die periode. Dat duidt erop dat de dreiging mogelijk langer actief was voordat het onderzoeksteam er zicht op kreeg.
De gehijackte nodes zouden in elk geval onderdeel zijn van netwerken van operators in minstens zes Aziatische landen. Naast Taiwan richt SilentAir zich volgens Enea op nog een tiental andere landen en territoria.
Doelwitten: politiek en overheid
Naast geografische spreiding noemt Enea ook de aard van de slachtoffers. Onder de doelwitten zouden hooggeplaatste politieke en overheidsfiguren zitten. Dat verhoogt de ernst van de zaak, omdat dit type informatiepositie vaak gepaard gaat met nationale besluitvorming en strategische communicatie.
Enea beschrijft bovendien dat de groep soms ook mensen in regio’s als Oost-Afrika, Centraal-Azië, het Midden-Oosten en Europa benadert.
Andere speler: Liminal Panda en IPX-exploit
Het rapport gaat verder dan SilentAir. Enea bespreekt ook activiteiten van Liminal Panda, een groep die CrowdStrike eerder (met lage zekerheid) linkte aan China-nexus operaties. De aandacht gaat hierbij onder andere uit naar een infrastructuurlaag die mobiele operators gebruiken om verkeer en signalering uit te wisselen: IPX.
Enea stelt dat het bij Liminal Panda de enige actor is waarvan bekend is dat er actief misbruik wordt gemaakt van IPX, het interconnectienetwerk voor telecomverkeer tussen operators.
GTPDoor backdoor en blokkeren van pogingen
Vanaf het eerste kwartaal van 2026 ziet Enea en blokkeert het meerdere pogingen rond een GTPDoor-backdoor bij klanten van mobiele operators. Daarbij noemt Enea dat het om in totaal honderden pogingen gaat om heimelijk command-and-control servers te bereiken.
Ook hier wijst Enea op de mogelijke schaal: het ziet mogelijke infecties bij vijf tot tien operators en verwacht dat het, met name in Azië, Afrika en Latijns-Amerika, richting dozens kan groeien.
Zijn SilentAir en Liminal Panda verbonden?
Volgens Enea kunnen SilentAir en Liminal Panda met elkaar samenhangen, maar het bewijs is volgens het bedrijf niet sterk genoeg om de twee groepen met harde zekerheid aan dezelfde actor of campagne te koppelen.
Dat betekent voor organisaties vooral: behandel dit niet als één incident, maar als signalen van een bredere trend waarbij telecomknooppunten, interconnectlagen en signalingmechanismen doelwit kunnen zijn.
Wat kun je als organisatie nu doen?
Niet elke partij heeft directe invloed op SS7-, Diameter- of IPX-knooppunten. Toch kun je wel degelijk maatregelen treffen die de impact beperken wanneer communicatiekanalen worden misbruikt.
- Versterk account- en authenticatieprocessen. Overweeg waar mogelijk risk-based controles en strengere verificatie voor gevoelige handelingen.
- Leg samenwerkingsafspraken vast met telecom- en netwerkpartners. Als je afhankelijk bent van mobiele communicatie voor processen, maak duidelijk welke signalering en logbronnen gedeeld kunnen worden bij verdachte patronen.
- Monitor anomalieën in communicatiegedrag. Denk aan onverklaarbare wijzigingen rond bereikbaarheid, sms-gedrag of timing van berichten.
Wil je breder begrip van telecom- en interceptie-risico’s? Lees dan ook: Bron: https://www.securityweek.com/silentair-hackers-intercept-calls-sms-from-inside-mobile-networks/
