‏ردیابی جهانی موبایل از دل شبکهٔ اپراتورها

Citizen Lab تو یه گزارش تازه از دو کمپین جاسوسی مخابراتی پرده برداشته که با همکاری چند شرکت امنیت مخابراتی از جمله Cellusys و P1 Security ردیابی شدن. ماجرا از اواخر ۲۰۲۴ شروع شد؛ لاگ‌های فایروال سیگنالینگ (همون لایه‌ای که پیام‌های کنترلی بین اپراتورها رو پایش می‌کنه) چند رویداد عجیب نشون می‌داد که آخرش به ردیابی چندمرحله‌ای یه مشترک روی شبکه‌های 3G و 4G رسید. اپراتور گفته اون شماره متعلق به یکی از مدیران ارشد یه شرکت بوده. اوایل ۲۰۲۵ رویداد دومی پیدا شد که با یه پیامک با فرمت خاص انجام می‌شد.

به گفتهٔ محقق‌ها ریشهٔ مشکل باگ نرم‌افزاری نیست، خود طراحی شبکه‌ست. پروتکل SS7 (سیگنالینگ نسل قدیم که هنوز پشت رومینگ و پیامک کار می‌کنه) اصلاً احراز هویت و رمزنگاری نداره، پس هر کسی که به بک‌بون سیگنالینگ راه پیدا کنه می‌تونه فرمانی بفرسته که انگار از یه اپراتور معتبر اومده. Diameter، نسخه‌ای که تو 4G و بیشتر 5G کار می‌کنه، امکاناتی مثل TLS و IPsec داره، ولی عملاً خیلی از اپراتورها فعالش نکردن و همون مدل «اعتماد بین همتاها» رو ادامه دادن.

یکی از کمپین‌ها یه قدم جلوتر رفت: یه پیامک حاوی فرمان‌های مخفی سیم‌کارت فرستاد تا خود سیم‌کارت اطلاعات موقعیت رو بیرون بده و گوشی عملاً به یه بیکن ردیابی تبدیل بشه. مهاجم‌ها بین SS7 و Diameter هم جابه‌جا می‌شدن، چیزی که قابلیت combined attach (ثبت هم‌زمان دستگاه روی 3G و 4G برای پیوستگی سرویس) ممکنش می‌کنه. شناسه‌های اپراتوری رو هم می‌چرخوندن و مسیر پیام‌ها رو طوری هدایت می‌کردن که از فایروال شبکهٔ هدف رد بشه.

برای تفکیک دو بازیگر، تیم دنبال «اثر انگشت» فنی گشت: شناسه‌های تراکنش SS7 که تقریباً پشت‌سرهم بودن و به یه سامانهٔ C2 متمرکز اشاره می‌کردن، فرمت غیراستاندارد Session ID تو Diameter، و پارامترهای کاملاً یکسان روی شبکه‌های مختلف. بازیگر اول توکن‌های عددی ۳۷ تا ۳۹ رقمی تولید می‌کرد و بازیگر دوم شناسهٔ IMSI هدف رو مستقیم داخل Session ID جاسازی می‌کرد. مقایسهٔ مسیرها با اسناد IR.21 هم نشون داد ترافیک حمله از ارائه‌دهنده‌هایی وارد شبکه شده که تو مدارک رسمی اپراتور نبودن.

دامنهٔ ماجرا جهانیه: شناسه‌ها و زیرساخت اپراتورهایی از بریتانیا، اسرائیل، چین، تایلند، سوئد، ایتالیا، لهستان، سوئیس، مراکش و چند کشور آفریقایی تو این حمله‌ها دیده شدن، و تله‌متری Cellusys نشون می‌ده بعضی شناسه‌ها چند سال پشت‌سرهم استفاده شدن. نویسنده‌های گزارش اسم این وضعیت رو «اپراتورهای شبح» گذاشتن و معتقدن مشکل اصلی نبود نظارت و پاسخ‌گویی تو بازار دسترسی به شبکهٔ سیگنالینگه، نه صرفاً یه ضعف فنی.

نکات کلیدی:

• دو بازیگر جاسوسی جداگانه شناسایی شدن که هم‌زمان از SS7 در 3G و Diameter در 4G برای ردیابی موقعیت استفاده می‌کردن.
• یکی از کمپین‌ها با پیامک حاوی فرمان مخفی سیم‌کارت، خود گوشی رو به بیکن ردیابی تبدیل می‌کرد.
• بازیگر دوم IMSI هدف رو داخل Session ID جاسازی می‌کرد و بازیگر اول توکن‌های عددی ۳۷ تا ۳۹ رقمی می‌ساخت.
• شناسه‌های اپراتوری از بیش از ۱۵ کشور، از جمله بریتانیا و اسرائیل، تو ترافیک حمله دیده شد.
• Diameter از TLS و IPsec پشتیبانی می‌کنه، ولی اپراتورها فعالش نکردن و همون مدل اعتماد SS7 پابرجاست.