Злонамерени SIM карти свалят връзката от 5G до 2G

Екип от Бирмингамския университет и фирмата Fuzzware показа на конференцията USENIX WOOT в Балтимор, че една злонамерена SIM карта е достатъчна, за да поеме контрол над телефон или индустриален модем — без никакво действие от страна на потребителя. Изследователите демонстрираха изключване на устройството, кражба на произволни файлове, принудително отваряне на уебсайт при заключен екран и сваляне на връзката до 2G. Резултатите бяха публикувани на 10 август 2026 г., а The Register описа детайлите ден по-късно.

Проблемът не е бъг, а функция от стандарта

В основата стои механизъм на име Proactive SIM. Обикновено си представяме SIM картата като пасивен чип, който телефонът чете. В действителност стандартите за мобилни комуникации ѝ дават право сама да изпраща команди към устройството — така работят менютата на оператора в телефона, USSD услугите и част от административните съобщения.

Две от тези команди се оказват особено опасни. RUN AT COMMAND позволява на картата да изпълни AT команда — същият набор инструкции за управление на модеми, който съществува от 80-те години на миналия век. LAUNCH BROWSER пък кара устройството да отвори адрес по избор на картата.

„Интересното тук е, че проактивните възможности на SIM картата и произтичащата от тях атакувана повърхност са изрично описани в техническите спецификации”, коментира д-р Мариус Мюнх от Бирмингамския университет. С други думи, това са атаки, които спазват стандарта — а не пробив в него.

26 устройства, 9 отворени врати

За проверката екипът — Томаш Пьотр Лисовски, Мариус Мюнх и Кристиан Ковик от Fuzzware — създаде инструмент на име CATana и го пусна срещу 26 представителни устройства: 18 смартфона и 8 клетъчни IoT модула, каквито се използват в зарядни станции за електромобили, индустриална техника и свързани автомобили.

Девет от тях излагат AT интерфейса си на SIM картата. Съотношението е показателно: сред IoT модулите уязвими са седем от осем, докато при смартфоните случаите са единични.

Няколко конкретни резултата:

• Oppo Reno14 F 5G — картата има достъп до 198 AT команди, включително такива за повторно включване на изключени debug интерфейси.
• Зарядна станция Autel с модул Quectel EC25-AFX — изследователите постигат изпълнение на код чрез инжектиране на команди.
• Quectel EG25-G — кражба на произволни файлове чрез злонамерени символни връзки, отвличане на модема и отказ на услуга.
• Принудително сваляне до 2G, което устройството не успява да върне обратно, плюс дистанционно изключване.

Снимка: Quectel

Свалянето до 2G е особено неприятно, защото старите GSM мрежи нямат взаимна автентикация и се подслушват с оборудване за няколкостотин евро. Атака, започнала от SIM картата, така подготвя терена за втора атака отвън.

Как злонамерена карта изобщо попада в устройството

Сценарият звучи екзотично, докато не се изредят пътищата. Изследователите посочват четири: отдалечено използване на уязвимост в софтуера на самата карта, физическа подмяна или хардуерен имплант, злоупотреба от страна на оператор с достъп до платформите за дистанционно управление на профили, и намеса в доставната верига при производството или дистрибуцията.

Последните два са реалистични точно при IoT техниката, която често се доставя с фабрично поставена карта и после виси години на място без надзор. Подобен сюжет вече видяхме и при спряната турбина в полска ТЕЦ през частен APN — мобилната връзка се оказва най-слабо охраняваният вход към индустриалното оборудване.

Какво направиха производителите

Разкритието е изпратено на Google, Oppo, Quectel, Semtech и Qualcomm през март 2026 г., а на GSMA — през май.

Google проследява проблема с LAUNCH BROWSER като CVE-2025-48618 и го е закърпил в Android 13 до 16 още с кръпките от декември 2025 г. Ако телефонът ви е извън списъка с поддържани модели, вече няма да получите поправката — Google пропусна Pixel 6 и 7 в августовската кръпка. Qualcomm е издала втвърдена конфигурация, която изключва AT интерфейса към SIM картата по подразбиране. Има и второ CVE — CVE-2026-57550, а GSMA води координираното разкриване под CVD-2026-0122.

Изводът

За средния потребител рискът засега е нисък: атаката изисква контрол над самата карта, а не просто близост до устройството. Практичната препоръка е скучна, но работеща — купувайте SIM карти от офис на оператора, а не от препродавач, и инсталирайте месечните кръпки за Android.

Истинската тежест на изследването е другаде. То показва, че в мобилния стек все още стоят интерфейси от 80-те, на които се вярва по подразбиране, защото спецификацията така казва. Пълният доклад е свободно достъпен от сайта на USENIX.