Исследователи нашли угрозу запуска кода через SIM-карты в IoT-системах
3 мин
22
SIM-карты могут использоваться для запуска команд в сотовых модулях IoT-устройств, в том числе и от имени злоумышленника. Исследователи из Университета Бирмингема выяснили, что в результате под угрозой оказываются зарядные станции для электромобилей, промышленные маршрутизаторы, автомобильные телематические блоки и другое оборудование с сотовой связью.
Специалисты проверили 26 смартфонов и сотовых модулей, из них 9 устройств выполнили команду RUN AT. С её помощью они запустили собственный код на коммерческой зарядной станции для электромобилей. Команду обработали шесть из восьми проверенных модулей. Среди 18 смартфонов её поддерживали OPPO Find X5, OPPO Reno 14 F 5G и ASUS Zenfone 9. Уязвимых iPhone и Pixel в выборке не оказалось.
Пять из шести уязвимых модулей выпустила Quectel. Три экземпляра в момент проведения эксперимента находились в зарядной станции, промышленном маршрутизаторе и телематическом блоке автомобиля. Все девять устройств с поддержкой RUN AT работали на коммуникационных процессорах Qualcomm. Однако функция была доступна не на всех устройствах этой платформы.
Для атаки злоумышленнику мало знать номер абонента. Вредоносная SIM-карта должна быть установлена в целевом устройстве. RUN AT относится к проактивным командам SIM-карты. Обычно модем сам обращается к ней, но при такой схеме карта передаёт ему указание выполнить AT-команду.
Обычно подобные команды используют для управления модемами, и каждый производитель может дополнять набор собственными расширениями. Эксперты отметили, что механизм описан в спецификациях сотовой связи. Проблема в этом случае связана не с нарушением стандарта, а с использованием штатной функции. Ошибки в коде можно исправить обновлениями, но отключение самого интерфейса зависит от производителя.
В зарядной станции Autel MAXI US AC W12-L-4G исследователи изучили модуль Quectel EC25AFXDGA. Его служба `atfwd_daemon` передавала текст от атакующего в командную оболочку. Фильтр запрещённых символов не блокировал перевод строки. Это позволило добиться выполнения кода через команды SIM-карты. Авторы уведомили Quectel, поскольку уязвимый код относится к модулю, а не к зарядной станции.
На OPPO Reno 14 F 5G команда `AT+COPS=0,,,0` позволяла принудительно перевести смартфон в сеть 2G. Владелец не мог отменить это через настройки, авиарежим или отключение SIM-карты. В сетях 2G нет взаимной аутентификации абонента и сети. Это упрощает атаки с поддельными базовыми станциями. Другие команды позволяли выключить телефон или отключить его модем. Инструмент CATana выявил на этой модели 198 AT-команд, доступных через SIM-карту. В другом случае исследователи получили доступ к файлам на Quectel EG25-G через TFTP-сервер с правами `root`. Затем данные можно было отправить по почте командой `AT+QSMTP`. Для такой атаки вредоносная ссылка должна заранее находиться в файловой системе модуля. Уязвимости присвоили идентификаторы CVE-2026-57550 и CVD-2026-0122. На момент публикации сведений о ней ещё не появилось в открытой базе CVE. Quectel не публикует прошивки в открытом доступе, поэтому пока нельзя определить, сколько устройств затронула проблема. Подтверждённых случаев её использования в атаках нет.
