🌐 Contexte

Publié le 11 novembre 2026 par Enea (mise à jour le 12 novembre 2026), cet article de recherche expose les activités de deux acteurs malveillants ciblant les réseaux d’interconnexion mobiles mondiaux (IPX) : LIMINAL PANDA, déjà connu, et SilentAir, nouvellement identifié. Les deux sont évalués avec des niveaux de confiance variables comme alignés sur des opérations cyber liées à la Chine.

🦠 LIMINAL PANDA et GTPDoor

Enea a détecté depuis le T1 2026 des centaines de tentatives de communications C2 covertement via le protocole GTP-C, utilisant le malware GTPDoor. Les opérateurs infectés sont estimés entre 5 et 10 confirmés, avec potentiellement plusieurs dizaines touchés globalement, principalement en Asie, Afrique et Amérique latine.

Les commandes observées incluent :

  • Démarrage/arrêt de tunnels d’exfiltration (via des versions modifiées de SGSNemu)
  • Mouvement latéral via EchoBackdoor
  • Commandes SSH, vérifications de processus, timestomping, suppression de fichiers

Une nouvelle version de GTPDoor (v3) a été découverte, utilisant désormais le protocole GTP-U (transport de données) au lieu de GTP-C, rendant la détection significativement plus difficile en raison du volume de trafic et de la complexité d’inspection. GTPDoor v3 utilise libpcap pour la capture de paquets, évitant ainsi d’apparaître dans netstat ou lsof.

👁️ SilentAir : nouvel acteur étatique sur la signalisation

SilentAir est un acteur identifié comme étatique par Enea, actif depuis avant 2025, opérant via des attaques de signalisation SS7 et Diameter injectées dans l’interface IPX depuis des nœuds compromis dans des opérateurs mobiles d’au moins 6 pays asiatiques.

Ses cibles principales :

  • Taïwan (cible primaire)
  • Abonnés en Asie du Sud-Est, Asie de l’Est, Afrique de l’Est, Asie centrale, Moyen-Orient, Europe
  • Des VIP politiques et gouvernementaux ont été ciblés

Types d’attaques observés :

  • Interception (18,3%) : UpdateLocation SS7/Diameter pour intercepter SMS et appels, y compris des codes 2FA interceptés immédiatement après l’attaque
  • Harvesting (7,21%) : SRI-SM, RestoreData, SendAuthenticationInfo, AIR Diameter
  • Location tracking (0,22%) : AnyTimeInterrogation, Insert-Subscriber-Data-Request
  • Autres (74,27%) : envoi massif de SMS silencieux principalement vers des abonnés taïwanais, notamment autour de minuit

Les SMS silencieux contiennent du texte générique de type spam (ex: “Stay healthy, stay happy, always shine!”) pour éviter d’alerter si le message devient visible. L’activité non-SMS correspond à un fuseau horaire UTC+8 avec des pauses lors des jours fériés chinois.

🔗 Liens possibles entre les deux acteurs

Enea observe des chevauchements temporels et de ciblage entre LIMINAL PANDA et SilentAir dans les mêmes opérateurs infectés. Le binaire SCTPE (associé avec confiance modérée à LIMINAL PANDA par CrowdStrike) présente des similarités avec l’activité SilentAir, mais des divergences comportementales empêchent une attribution directe. Le lien est possible mais non confirmé.

📋 Type d’article

Il s’agit d’une publication de recherche technique par l’équipe Threat Intelligence d’Enea, visant à documenter deux acteurs malveillants actifs sur les réseaux mobiles mondiaux, exposer leurs techniques et outillages, et alerter l’industrie télécom sur la nécessité de sécuriser l’ensemble des protocoles IPX.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • LIMINAL PANDA (state-sponsored) — orkl.eu · Malpedia
  • SilentAir (state-sponsored) —

TTP

  • T1095 — Non-Application Layer Protocol (Command and Control)
  • T1571 — Non-Standard Port (Command and Control)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1070.006 — Indicator Removal: Timestomp (Defense Evasion)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1057 — Process Discovery (Discovery)
  • T1036 — Masquerading (Defense Evasion)
  • T1557 — Adversary-in-the-Middle (Collection)
  • T1056 — Input Capture (Collection)
  • T1016 — System Network Configuration Discovery (Discovery)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 13 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • GTPDoor (backdoor)
  • GTPDoor v3 (GTP-U-Door) (backdoor)
  • EchoBackdoor (backdoor)
  • SGSNemu (tool)
  • SCTPE (other)
  • SIGTRANslator (tool)
  • Cordscan (tool)

🟡 Indice de vérification factuelle : 51/100 (moyenne)

  • ⬜ enea.com — source non référencée (0pts)
  • ✅ 43101 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 11 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : LIMINAL PANDA, SilentAir (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.enea.com/insights/the-enemy-within-tracking-liminal-panda-and-silentair-through-mobile-networks/