SIM độc hại có thể điều khiển modem, hạ cấp 5G và đọc dữ liệu trên một số thiết bị
"Researchers demonstrated that a malicious SIM can abuse standards-compliant proactive SIM features, including RUN AT, to issue modem commands on some phones and IoT devices. The attacks enabled code execution, arbitrary file reads, denial of service, forced 2G downgrades, and locked-screen browser launches; Google patched Android 13 through 16 for CVE-2025-48618, and the GSMA is tracking the broader issue as CVD-2026-0122."
Rủi ro cao với thực thi mã từ SIM, rò rỉ dữ liệu và hạ cấp kết nối xuống 2G; một số thiết bị có thể bị ảnh hưởng ngay cả khi màn hình đang khóa.
Có thể gây gián đoạn dịch vụ, ảnh hưởng thiết bị di động/IoT và làm tăng chi phí vá lỗi, kiểm tra cấu hình, thay đổi thiết kế trên hạ tầng viễn thông.
Các nhà nghiên cứu đã chứng minh rằng SIM độc hại có thể lạm dụng các tính năng proactive SIM tuân thủ tiêu chuẩn, đặc biệt là RUN AT, để gửi lệnh tới modem trên một số điện thoại và thiết bị IoT. Kết quả thử nghiệm cho thấy có thể dẫn tới thực thi mã, đọc tệp tùy ý, từ chối dịch vụ, ép kết nối xuống 2G, và mở trình duyệt trên màn hình khóa mà không cần tương tác người dùng.
Nhóm nghiên cứu đã kiểm tra 26 thiết bị gồm 18 smartphone và 8 modem IoT bằng bộ công cụ CATANA. Trong số này, 9 thiết bị lộ giao diện lệnh AT cho SIM; riêng nhóm IoT có 7/8 modem bị ảnh hưởng. Họ cũng khai thác thành công một lỗi chèn lệnh trên modem Quectel EC25-AFX gắn trong bộ sạc xe điện Autel EV, và trích xuất tệp từ modem Quectel EG25-G bằng cách kết hợp liên kết tượng trưng độc hại với lệnh từ SIM.
Google đã vá Android 13 đến 16 cho CVE-2025-48618. GSMA đang theo dõi vấn đề rộng hơn dưới mã CVD-2026-0122. Khuyến nghị kỹ thuật là vô hiệu hóa giao diện SIM AT nếu không cần thiết, rà soát cấu hình modem, và ưu tiên loại bỏ RUN AT cùng các chức năng proactive SIM có rủi ro cao.