Liminal Panda 自 2020 年起就開始滲透南亞和非洲的電信網路
自 2020 年起，一個新的中國關聯的網路間諜團體被發現持續瞄準南亞與非洲的電信企業發動一系列針對性網路攻擊，其目的是進行情報蒐集。根據網路安全公司 CrowdStrike 的分析，該團體被命名為 Liminal Panda，其成員對於電信網路的運作模式、底層協定，以及不同電信服務供應商之間的互聯結構擁有深入了解。
Liminal Panda 是 CrowdStrike 所追蹤的 63 個不同的「Panda」之一。「Panda」是該網路安全公司用來指涉及中國內部或與中國有聯繫的網路入侵者的命名方式。自 2020 年起，Liminal Panda 就開始滲透南亞和非洲的電信網路。
CrowdStrike 指出，Liminal Panda 使用一系列專門設計的惡意工具來實現隱匿訪問、指令及控制（C2）和資料外洩。這些工具被用於滲透受害者的電信伺服器，並將攻擊範圍擴大至其他地區的服務供應商。該團體還利用支援行動通訊的協定，例如模擬全球行動通訊系統（GSM）協議進行 C2 操作，並開發工具來檢索行動用戶資訊、通話詮釋資料 (call metadata) 和簡訊（SMS）。
值得注意的是，部分與 Liminal Panda 有關的滲透活動早在 2021 年 10 月就已被記錄，但當時被錯誤地歸咎於另一個威脅團體 LightBasin（又名 UNC1945）。LightBasin 自 2016 年起便以攻擊電信企業而惡名昭彰，這次錯誤主要是因為有多個駭客團體都在同一受感染網路中進行惡意活動所導致。經過深入分析，CrowdStrike 確認這是一個全新的威脅團體，並揭露其專屬的工具組和攻擊模式。
Liminal Panda 的工具組包括數款專門針對電信協定設計的惡意軟體。例如，SIGTRANslator 是一個 Linux ELF 二進位檔案，能透過 SIGTRAN 協定進行資料傳輸；CordScan 是一款具備封包攔截與網路掃描功能的工具，專門用於辨識和檢索與電信協定相關的資料；PingPong 則是一個後門程式，能監聽特殊的 ICMP 回應請求，並建立反向的 TCP 殼層連結。這些工具展現了該團體對電信網路基礎設施的深厚理解。
該團體還採用開源後門工具 TinyShell 和公開的 SGSN 模擬器（稱為 sgsnemu）來進行指令與控制 (C2) 通訊。攻擊者常利用密碼噴灑攻擊法 (password spraying) 滲透外部 DNS（eDNS）伺服器，特別針對使用極弱密碼或與第三方相關的密碼進行攻擊。攻擊的最終目標是蒐集網路遙測資料與用戶資訊，或是利用電信業者之間的互聯需求，進一步滲透其他電信服務提供者。
Liminal Panda 的活動利用電信業者之間的信任關係，以及許多網路安全政策的漏洞。藉此由外部主機進而取得核心基礎設備的存取權限，進一步滲透受害者的網路。
CrowdStrike已追蹤中國關聯的網路威脅超過 20 年，據內部人員表示，這些攻擊行動已經從早期的「搶劫式突襲」進化為針對高價值目標個體和資訊的精準活動。這通常意味著鎖定能提供政治和軍事機密的來源，或者可能增進中國國家利益的智慧財產。
與此同時，法國網路安全公司 Sekoia 強調，中國的網路攻擊生態系統是一個由多方組成的合作體系，包括國家支持單位（如國家安全部 MSS 和公安部 MPS）、民間駭客以及民營機構。這些單位組織共同參與漏洞研究與攻擊工具開發，形成了一個緊密的合作網路。Sekoia 進一步指出，這種生態系統不僅涵蓋了攻擊的操作執行，還涉及販賣被盜資訊、提供攻擊服務與工具等多種業務，展現了國家與民間之間複雜而互補的協同關係。
這些針對電信業的攻擊行動，包括 Liminal Panda 以及其他如 Salt Typhoon 的中國相關威脅團體，凸顯了電信業及其他關鍵基礎設施面臨的國家支持攻擊威脅。在這樣的背景下，強化通訊協定安全與防護電信供應商間信任模式下的漏洞成為各大電信業者的當務之急。
Liminal Panda 駭客組織相關的部分的入侵指標（IOCs）:
| 3a5a7ced739923f929234beefcef82b5 |
| 9728cd06b3e5729aff1a146075d524c34c5d51df |
| 05537c1c4e29db76a24320fb7cb80b189860389cdb16a9dbeb0c8d30d9b37006 |
| 16294086be1cc853f75e864a405f31e2da621cb9d6a59f2a71a2fca4e268b6c2 |
| 4480b58979cc913c27673b2f681335deb1627e9ba95073a941f4cd6d6bcd6181 |
| 6d3759b3621f3e4791ebcd28e6ea60ce7e64468df24cf6fddf8efb544ab5aec0 |
| 78c579319734a81c0e6d08f1b9ac59366229f1256a0b0d5661763f6931c3b63c |
| 917495c2fd919d4d4baa2f8a3791bcfd58d605ee457a81feb52bc65eb706fd62 |
| 97d4c9b5750d614face73d11ba8532e53594332af53f4c07c1543195225b76eb |
| 9973edfef797db84cd17300b53a7a35d1207d166af9752b3f35c72b4df9a98bc |