SIM độc hại có thể điều khiển lệnh trong modem của thiết bị IoT di động
"Researchers from the University of Birmingham and Fuzzware found that a malicious SIM card can trigger RUN AT proactive commands on certain Qualcomm-based cellular modules and phones, enabling attacker-controlled AT command execution inside the modem stack. In one tested EV charger using a Quectel EC25 module, this led to code execution via an unsafe shell call; on an OPPO handset, it enabled an irreversible 2G downgrade and other modem control actions. Vendors have indicated mitigations or hardened configurations, but no public advisory was issued and the interface remains a documented capability rather than a traditional CVE-based bug."
Rủi ro cao vì SIM độc hại có thể mở đường thực thi lệnh trong modem, dẫn tới chiếm quyền điều khiển thiết bị hoặc hạ cấp mạng.
Có thể ảnh hưởng đến thiết bị IoT không giám sát, gây gián đoạn dịch vụ, tăng chi phí kiểm tra firmware và phối hợp với nhà cung cấp.
Các nhà nghiên cứu từ University of Birmingham và Fuzzware cho biết một SIM card độc hại có thể kích hoạt RUN AT proactive command trên một số mô-đun và điện thoại dùng Qualcomm, từ đó cho phép thực thi lệnh AT do kẻ tấn công kiểm soát ngay trong modem stack. Trong thử nghiệm với 26 thiết bị, tính năng này xuất hiện trên 9 thiết bị; riêng 6/8 mô-đun cellular được kiểm tra chấp nhận lệnh.
Trên một EV charger thương mại dùng Quectel EC25, chuỗi xử lý lỗi đã dẫn đến code execution thông qua một lời gọi shell không an toàn. Trên OPPO Reno 14 F 5G, lệnh AT+COPS=0,,,0 có thể ép máy xuống 2G và người dùng không thể tự đảo ngược bằng các thao tác thông thường. Nhóm nghiên cứu cũng ghi nhận các lệnh khác có thể tắt máy hoặc tắt modem.
Hiện chưa có public advisory và đây không phải lỗ hổng kiểu CVE truyền thống, mà là một khả năng đã được đặc tả trong giao thức. Khuyến nghị cho đội vận hành IoT là kiểm tra với nhà cung cấp xem RUN AT có đang bật trong firmware hay không, có thể vô hiệu hóa được không, và ưu tiên triển khai cấu hình hardened cho các thiết bị đang dùng.