SIM-карта как оружие: как вредоносный чип берёт под контроль IoT-устройства

Зарядные станции для электромобилей, промышленные роутеры и телематические блоки автомобилей оказались под угрозой. Ключом к взлому выступает самый незаметный компонент — SIM-карта.

Группа исследователей из Бирмингемского университета и компании Fuzzware испытала 26 устройств — от смартфонов до коммуникационных модулей — на способность выполнять команды, подаваемые напрямую с SIM-карты. Результат: в 9 случаях атака сработала. В том числе на коммерческом зарядном устройстве Autel.

Стандарт, ставший лазейкой

Атака использует механизм проактивных команд SIM-карты — стандартизированный способ взаимодействия чипа с модемом. Среди них выделяется RUN AT: SIM может потребовать от модема выполнить произвольную AT-команду — низкоуровневую инструкцию управления.

«Проактивные возможности SIM и открываемая ими поверхность атаки явно прописаны в технических спецификациях сотовой связи», — пояснил Мариус Мюнх, доцент кафедры компьютерных наук Бирмингемского университета. Поэтому найденный вектор не является нарушением стандарта — он им предусмотрен.

Проактивные возможности SIM и открываемая ими поверхность атаки явно прописаны в технических спецификациях сотовой связи.

Более того, на большинстве исследованных модулей Quectel работает связка: команда, не обработанная радиопроцессором, передаётся на дополнительный процессор приложений, где крутится Linux. Так SIM получает консольный доступ к полноценной ОС.

Жертвы: от зарядки до смартфона

Шесть из восьми протестированных сотовых модулей приняли команду RUN AT. Пять из них — продукция Quectel, причём три извлечены из реальных устройств: зарядки Autel MAXI US AC W12-L-4G, промышленного роутера и автомобильного телематического блока.

На модуле Quectel EC25AFXDGA демон atfwd_daemon пропускает контролируемый атакующим текст в вызов shell через небезопасную форматную строку. Символ новой строки обошёл блокировку — и спустя два этапа исследователи выполнили произвольный код.

Среди смартфонов уязвимость подтвердилась на трёх моделях: OPPO Find X5, OPPO Reno 14 F 5G и ASUS Zenfone 9. iPhone и Pixel в этот список не попали.

На OPPO Reno 14 F 5G команда AT+COPS=0,,,0 принудительно перевела аппарат в режим 2G. Отменить понижение не смогли ни перезагрузка, ни ручной выбор сети, ни смена профиля в настройках. При отсутствии взаимной аутентификации в 2G открывается дорога к фальшивой базовой станции.

• SIM-карта должна быть физически установлена в целевое устройство.
• Чип может быть подменён вручную, вставлен как тонкий интерпозер или модифицирован на этапе производства.
• Наибольшему риску подвержены необслуживаемые IoT-устройства со свободным доступом к SIM-лотку.
• Уязвимость отслеживается как CVE-2026-57550 (Qualcomm) и CVD-2026-0122 (GSMA).

Реакция вендоров и перспективы

Все устройства, принявшие RUN AT, работали на процессорах связи Qualcomm. Компания заявила о создании усиленной конфигурации с отключённым по умолчанию интерфейсом. Quectel сообщила об устранении смежной ошибки доступа к файлам, но работа над самим интерфейсом ещё продолжается.

Публичных бюллетеней ни один из пяти вендоров не выпустил. Портал уязвимостей Quectel остаётся закрытым для авторизованных пользователей. Тем не менее, по словам исследователей, исправленная конфигурация станет стандартной для будущих устройств, а обновления затронут и затронутые модули.

Владельцам парков сотовых IoT-устройств рекомендуется незамедлительно запросить у поставщиков информацию о статусе RUN AT в прошивке. Это единственная доступная на сегодня мера. Случаев эксплуатации в реальных атаках не зафиксировано.

Читайте также: Что такое компьютерный вирус и как он проникает в систему

Источник: The Hacker News