SilentAir駭客入侵亞洲電信業者，鎖定台灣用戶攔截通話與簡訊

電信與資安軟體商 Enea 於 11 月 11 日發布研究，點名新發現的國家級駭客組織「SilentAir」。外媒報導指出，該組織利用遭入侵的亞洲電信業者設備，發動 SS7 與 Diameter 訊令攻擊，攔截台灣行動用戶的通話與簡訊，對象包括政治與政府要員。

入侵電信設備，再從內部發動訊令攻擊

Enea 自 2025 年初開始追蹤 SilentAir，並以高度信心判定它屬於國家級行動者。駭客先控制電信業者的設備，再從這些設備發動第七號訊令系統（Signaling System No. 7，SS7）與 Diameter 協定攻擊。Enea 指出，受影響範圍涵蓋至少六個亞洲國家的行動電信業者，活動範圍另延伸至約十二個其他國家與地區。

台灣用戶是主要目標

報導指出，SilentAir 的受害者以台灣行動用戶為主，包含政治與政府要人。攻擊手法包括攔截通話與簡訊，以及擷取雙因素驗證（2FA）碼，Enea 判斷駭客可能藉此接管受害者的其他帳號。此外，駭客也對台灣用戶發送無聲簡訊（silent SMS），時間多集中在午夜前後。

Enea 統計，攔截行為占 SilentAir 活動的 18.30%，多數訊令攻擊背後的監控公司則僅占 2.07%。攻擊呈波浪式出現，單月受害者從數人到數千人不等，其間穿插長達數月的平靜期。

後門「GTPDoor」把 C2 流量藏進 GTP

Enea 同時揭露與「Liminal Panda」相關的活動。這個專攻行動電信業者的組織，已入侵亞洲、非洲與拉丁美洲的業者。Enea 估計，確認或高度疑似遭入侵的業者至少有 5 至 10 家，實際可能多達數十家。

Liminal Panda 使用的 Unix 後門「GTPDoor」，會把命令與控制（command-and-control，C2）流量藏在 GPRS 隧道協定（GPRS Tunnelling Protocol，GTP）中。Enea 發現新版本改用 GTP-U，也就是協定中傳輸使用者資料的部分，研判可能作為備援通道。GTP-U 流量龐大，受到的監控較少，且延伸至 5G 網路。2026 年初，Enea 的防火牆開始在多家客戶業者阻擋 GTPDoor 與其他 Liminal Panda 活動，偵測到數百次企圖連線的 C2 通訊。

歸因信心偏低，威脅條件仍在

Enea 表示，SilentAir 與 Liminal Panda 可能有關，但目前無法證實。對於兩者與中國的關聯，Enea 僅有低信心度，理由包括攻擊聚焦台灣、目標中沒有中國對象、活動時間符合中國上班時段，以及在中國假日期間暫停。資安業者 CrowdStrike 在 2024 年 11 月也曾以低信心度，將 Liminal Panda 連結至與中國有關的行動。

Enea 已協助客戶清除 Liminal Panda，並通知託管 SilentAir 攻擊來源的業者，認為兩個組織目前都受到干擾。不過 Enea 警告，讓它們捲土重來的條件依然存在。

本文轉載自 InfosecurityMagazine。