هکرهای Salt Typhoon همچنان در شبکه‌های مخابراتی آمریکا حضور دارند

ماجرا چه بود؟

در ۱۲ فوریه ۲۰۲۶، در شنیدنی کمیته‌ی تجارت سنای آمریکا، سناتور Ron Wyden از Oregon اعلام کرد که گروه نفوذ Salt Typhoon — منتسب به سازمان امنیت دولتی چین (MSS) — همچنان دسترسی پایدار به بخش‌هایی از زیرساخت مخابراتی آمریکا دارد.

Salt Typhoon در ۲۰۲۴ نفوذ به شبکه‌های AT&T، Verizon، و T-Mobile را به انجام رساند و قادر به shadow کردن مکالمات تلفنی و SMS در real-time بود — شامل communications برخی مقامات دولتی و کاندیداهای ریاست‌جمهوری.

بازیگر تهدید

Salt Typhoon (شناخته شده با نام‌های Earth Estries، GhostEmperor) یک APT چینی است که از حداقل ۲۰۲۰ فعال بوده. هدف‌گذاری اصلی: telecom ها، ISP ها، و عمدتاً برای signals intelligence (SIGINT) collection. این گروه به‌طور خاص ابزارهای custom برای استخراج CALEA wiretap interfaces دارد — همان interface هایی که قانوناً برای lawful intercept استفاده می‌شوند.

طبق Wyden، اشکال اصلی این بود که carriers، پس از کشف نفوذ، روی تعویض دستگاه‌های visibly compromised تمرکز کردند. اما Salt Typhoon implants خود را در سطح firmware و در دستگاه‌های routing core نصب کرده بود که آن‌ها برای تعویض اولویت نگرفت.

تأثیر و واکنش

این موضوع چندین پیامد دارد:

• اعتماد به TLS و encryption sufficient نیست: مکالمات و SMS از طریق metadata و SS7 می‌توانند tap شوند.
• carriers مسئولیت بیشتری دارند: CALEA interfaces باید با security بالاتر طراحی شوند.
• forensic در level firmware: تشخیص implant های firmware-level نیازمند ابزار custom است که بسیاری carriers ندارند.

CISA و FBI به carriers راهنمایی‌های جدید برای forensic در سطح firmware ارائه کرده‌اند. اما regulatory response تا کنون کند بوده.

توصیه‌های امنیتی

• برای communications حساس: استفاده از Signal، iMessage، یا WhatsApp end-to-end encrypted — مکالمه‌ی تلفنی معمول می‌تواند شنیده شود.
• در سازمان: VoIP enterprise با E2EE داخلی، نه از طریق PSTN.
• بازنگری در trust model: telecoms ها به‌طور کامل قابل اعتماد نیستند.
• در sensitive scenarios، استفاده از satellite phones مستقل از infrastructure ground-based.
• monitor کنید: news از carriers اگر breach جدید گزارش می‌دهند — این کارزار هنوز ادامه دارد.

منابع

• The Hacker News