Деньги, SIM-карты, одна команда
Специалисты Бирмингемского университета и компании Fuzzwave исследовали ряд мобильных устройств на предмет возможности захвата контроля над ними с помощью специально подготовленных SIM-карт.
Такие карты уже довольно давно рассматриваются как один из возможных векторов атаки на мобильное оборудование (МО), если оно подключено к сотовым сетям.
«Один из основных путей атаки - это т.н. проактивные команды, отправляемые с SIM-карты на устройство-жертву. В данной работе мы исследуем угрозы, создаваемые командой RUN AT, которая инициирует запросы от SIM-карты к МО на выполнение указанной AT-команды, фактически создавая AT-интерфейс SIM-карты», - пишут исследователи.
По их словам, несмотря на то, что в отраслевом сообществе хорошо знают об угрозах со стороны проактивных команд и опасностях AT-команд, исследование показало, что риски сохраняются.
«Мы провели исследование 26 различных мобильных устройств (8 устройств интернета вещей и 18 смартфонов) и обнаружили, что в 9 из них интерфейс SIM AT оказывается активен; как следствие, были выявлены 4 новые уязвимости. Мы представили примеры, демонстрирующие влияние обнаруженных уязвимостей: в том числе, выполнение команд, произвольное чтение файлов, понижение скорости соединения до 2G и отказ в обслуживании (DoS) мобильного устройства», - написали авторы работы. - «Важно отметить, что наша работа подчеркивает преимущества для безопасности, проистекающие из усиления, ослабления или отключения интерфейса SIM AT».
С интерфейсом наголо
Исследователям удалось заставить выполнить команду Run AT только три из восемнадцати смартфонов: OPPO Find X5, OPPO Reno 14 F 5G, и ASUS Zenfone 9.
Кроме того, команду приняли специализированное устройство для зарядки электромобилей, промышленный роутер и автомобильный блок управления телематикой.
Обязательным условием во всех случаях была предварительная установка вредоносной SIM-карты. Это может затруднить практическую атаку, однако, устройства интернета вещей с доступным для посторонних слотом для SIM-карт - не то, чтобы исключительное явление.
Все 9 устройств, которые удалось скомпрометировать, функционируют на базе коммуникационного процессора Qualcomm; однако не все устройства на базе процессоров этого вендора приняли команду. Очевидно, речь идет об особенностях настройки конечного производителя.
Еще пять скомпрометированных устройств произведены компанией Quectel. И она, и Qualcomm заявили, что приняли меры по защите против описанной проблемы.
Как указывают исследователи, сложность ситуации заключается в том, что Run AT - это команда, относящаяся к стандарту ETSI/3GPP SIM Application Toolkit. Она позволяет SIM-карте запрашивать выполнение AT-команд через интерфейс управления модемом (AT-интерфейсе), набор возможностей которого значительно шире, чем тот, что предусмотрен непосредственно в SIM Application Toolkit.
Более того, каждый производитель может добавлять в этот интерфейс собственные расширения - то есть, дополнительные команды и функции.
Таким образом, избыточная доступность AT-интерфейса (в сущности, унаследованная от модемов начала 1980-х), - это задокументированная функциональность, включение или отключение которой зависит от каждого конкретного вендора. Каким-то одним патчем это не исправить.
Неновости архитектуры
Архитектурные особенности IoT-устройств еще больше осложняют ситуацию. Исследователи отметили, что почти в каждом модуле, который они изучили, присутствовал микрокомпьютер, обычно под управлением ОС Android и на базе ARM Cortex-A7, который выполняет роль отдельного процессора приложений. На этот процессор передаются любые AT-команды, которые радиомодуль не обрабатывает самостоятельно.
В итоге карта взаимодействует с компьютером на базе Linux, который, по мнению исследователей, представляет собой «обширную поверхность атаки со стороны SIM-карт, контролируемых злоумышленником».
«И без того крайне проблемная область - безопасность IoT-устройств - стала еще сложнее, - говорит Михаил Зайцев, эксперт по информационной безопасности компании SEQ. - Речь идет об эксплуатации особенностей «древнего» языка команд, созданного до появления самого понятия «кибербезопасность». Вдобавок, безопасности промежуточных компонентов в IoT-устройствах долгое время должного внимания не уделялось, в результате чего завязался эдакий горгиев узел, избавляться от которого придется еще много лет».
Что касается зарядного устройства для автомобилей, то это коммерческий продукт фирмы Autel MAXI US AC W12-L-4G с модулем Quectel EC25AFXDGA; он находится под управлением компонента atfwd_daemon, который передает входящий текст в вызов оболочки через небезопасную строку форматирования.
Предполагалось, что список заблокированных символов предотвратит выход за пределы безопасной области. Однако символ новой строки прошел мимо него. Еще через два этапа исследователи добились выполнения произвольного кода, полностью управляемого командами, выдаваемыми их SIM-картой.
В случае OPPO Reno 14 F 5G одна из команд - AT+COPS=0,,,0 - намертво зафиксировала устройство в режиме связи 2G, и пользователь терял возможность это каким-либо образом изменить. В режиме 2G не предусмотрена двусторонняя аутентификация, так что у потенциального злоумышленника появляется возможность выступать в качестве поддельной базовой станции сотовой связи.
В целом, исследователи смогли получить через SIM-карту доступ сразу к 198 AT-командам на данном устройстве.
В третьем случае исследователи смогли считывать произвольные файлы из устройства на базе Quectel EG25-G с помощью компонента («демона») TFTP, который функционирует с полномочиями Root, и не проверяет, является ли указанный путь символической ссылкой. Затем, с помощью собственных команд AT+QSMTP, исследователи вывели эти файлы вовне. Тут, правда, нужно нечто большее, чем просто посторонняя SIM-карта: вредоносную ссылку сперва потроебуется разместить в файловой системе модуля. Но это вполне реализуемо.
По мнению исследователей, любое мобильное оборудование на базе Quectel EC25, EG25 и RM52xN является заведомо уязвимым, и то же самое справедливо для других модулей Quectel, использующих модемы Qualcomm. Эти модули могут присутствовать в автомобилях, зарядных устройствах, платежных терминалах, и т.д.
Поскольку Quectel не выпускает обновления программных оболочек в публичное поле, проверить реальные масштабы проблемы сложно.
Как бы то ни было, исследователи уведомили не только Quectel и Qualcomm, но и Google, Oppo, Semtech и GSMA.
Qualcomm присвоил проблеме доступности AT-интерфейса CVE-индекс CVE-2026-57550, а GSMA - CVD-2026-0122.
Quectel, со своей стороны, отметил, что в новых версиях программных оболочек проблема устранена.
Поделиться
