🤔 Запуски вражеских перехватчиков: тестовый запуск AS3 "Surveyor"(AS3-IR/AS3-IR-T(учебно-тренировочный комплекс, тут и тут)), используемый противником(предыдущие публикации: тут, тут, тут, тут, тут, тут, тут, тут, тут, тут, тут, тут, тут, тут, тут и тут) из состава комплекса Merops(НСУ, рпусковые установки и дроны-перехватчики Surveyor), "P1-Sun"(здесь и здесь) от SkyFal и "STING" с борта PZL M28 (Ан-28, ранее писали про использование шестиствольного пулемета M134 Minigun на борту). По видео можно заметить, что самолёт в данной конфигурации может нести шесть перехватчиков(по три под каждый крылом).

⭐️ Полезная Нагрузка

📡 Вышел разбор операций двух разных коммерческих поставщиков средств слежения, эксплуатирующих не устройство жертвы, а сам каркас межоператорского взаимодействия. По сути - продолжение темы поддельных БС, только на другом этаже: если Rogue eNodeB/BTS требует подъезда с SDR на 0,5-1 км к цели, то здесь слежка ведётся из любой точки мира, где есть доступ к SS7/Diameter-backbone.

Архитектурная предпосылка
Международный роуминг построен на SS7 (3G-наследие) и Diameter (4G/5G). Оба протокола - из клубной эпохи, когда операторов было десятки и они друг другу верили. В SS7 нет аутентификации источника, контроля целостности и шифрования в принципе. Diameter формально поддерживает TLS/IPsec и взаимную аутентификацию между сетями, но на практике операторы эти механизмы массово не включают - сохраняют P2P trust. Сигнальный фаервол стоит, но часто настроен так, что пропускает cross-protocol атаки, когда запросы перескакивают SS7<->Diameter.

Вход в этот закрытый ландшафт получают через:
📓 прямые коммерческие соглашения с операторами;
📓 MVNE/MVNO-платформы с SS7-подключением;
📓 скомпрометированные узлы телеком-операторов;
📓 IR.21 документы GSMA - технические паспорта операторов с диапазонами GT, точек сигнализации, хостнеймов Diameter, реквизитами IPX-провайдеров. Циркулируют между операторами «по доверию» и дают атакующему готовую карту: какие GT относятся к SMSC, какие к HLR, какие к MSC.

STA1 - кросс-протокольный Ghost Operator
25 ноября 2024 - четырёхчасовая операция против абонента ближневосточного оператора (подтверждённо помеченного как VVIP). За это время атакующий прошёл по 11 идентификаторам операторов из 9 стран:
📡 фаза 1: SS7 sendRoutingInfoForSM - получение IMSI по MSISDN;
📡 фаза 2: серия SS7 provideSubscriberInfo (PSI) из разных GT (SEATEL Камбоджа, TMCEL Мозамбик, Telenabler Швеция, TIM Италия, FL1 Лихтенштейн и т.д.) - перебор GT в поисках того, который firewall пропустит;
📡 фаза 3: pivot в Diameter - Insert-Subscriber-Data-Request (IDR) от Tango Networks UK и 019Mobile Израиль;
📡 фаза 4: откат в SS7 с anyTimeInterrogation (ATI);
📡 фаза 5: IDR с Origin-Host от AIS Thailand и Origin-Realm от China Unicom. По 3GPP эти атрибуты обязаны принадлежать одной сети - несоответствие есть прямой маркер спуфинга.

Инженерный нюанс, который в отчёте идёт вскользь: TID (transaction identifiers) в SS7 генерируются независимо каждой сетью. Когда одни и те же TID последовательно появляются в запросах, якобы отправленных из разных операторов разных стран, это прямой след централизованного C2-стека. Аналогично Diameter Session-ID - у STA1 это случайные 37-39-значные токены в стиле UUID, характерный почерк коммерческого C2.

Приём с NXDOMAIN у 019Mobile
Отдельная находка, достойная внимания: домен epc.mnc019.mcc425.3gppnetwork.org намеренно не резолвится в IPX DNS (возвращает NXDOMAIN), но IP-блоки 185.24.204.0/29 и 185.24.204.8/29, привязанные к AS 51825 019Mobile, активно анонсируются в BGP через Partner Communications (AS 12400). Пассивный DNS-мониторинг трафик этого оператора не видит, а маршрут до него есть. Готовая инфраструктура скрытого signalling-proxy.

STA2 - возвращение SIMjacker
Второй актор использует другой вектор - бинарный SMS, обрабатываемый не телефоном, а самой SIM-картой. Механика перехваченного образца от 11 февраля 2025:
🗒 TP-PID = 127: сообщение для приложения SIM, не для пользователя. Телефон его не отображает, не сохраняет в inbox;
🗒 TP-DCS = 22 (0x16): бинарный код, доставить напрямую SIM;
🗒 внутри - байт-код для S@T browser, приложения SIM Toolkit из стандартов начала 2000-х. TAR = 0x505348 (Low-Priority Push), SPI = 0x0001 - без криптоподписи и контроля целостности.

⭐️ Полезная Нагрузка