Onderzoekers hebben op servers van een niet nader genoemde telecomprovider malware ontdekt die inkomende sms-berichten van gebruikers onderschept en opslaat zodat ze door de aanvallers kunnen worden gedownload. De malware wordt door securitybedrijf FireEye Messagetap genoemd en zou door een Advanced Persistent Threat (APT)-groep zijn ingezet die voor de Chinese overheid zou werken.

De malware werd tijdens een onderzoek op een cluster van Short Message Service Center (SMSC)-servers aangetroffen. Deze servers zijn verantwoordelijk voor het routeren van sms-berichten naar de beoogde ontvanger. Wanneer die niet bereikbaar is, worden de berichten door de server opgeslagen. De malware op de servers onderschept sms-berichten met bepaalde woorden of die van bepaalde telefoonnummers of IMSI-nummers afkomstig zijn.

Nadat de malware de lijsten met IMSI- en telefoonnummers en woorden in het geheugen van de server heeft geladen, wordt begonnen met het monitoren van alle netwerkverbindingen van en naar de server. Hiervoor gebruikt Messagetap de libpcap-library. Zodra de malware een sms van een opgegeven IMSI- of telefoonnummer voorbij ziet komen of een bericht met een bepaald woord, wordt het sms-bericht in een CSV-bestand opgeslagen zodat de aanvallers die vervolgens kunnen downloaden.

Volgens FireEye zoeken de aanvallers naar sms-berichten die over Chinese politieke leiders, militaire en inlichtingenorganisaties en politieke bewegingen gaan. Hoe de aanvallers toegang tot de servers wisten te krijgen is niet bekendgemaakt. Het securitybedrijf stelt dat de aanval laat zien dat gebruikers moeten worden onderwezen over het uitwisselen van gevoelige informatie via sms en het verstandig is om van communicatietools gebruik te maken die end-to-endencryptie toepassen.