Một thẻ SIM độc hại có thể ra lệnh cho thiết bị chứa nó thực hiện các lệnh do kẻ tấn công lựa chọn. Trên các module di động được tích hợp trong bộ sạc xe điện (EV), bộ định tuyến công nghiệp và các bộ điều khiển telematics của xe hơi, bấy nhiêu là đủ để chiếm quyền kiểm soát toàn bộ thiết bị.
Các nhà nghiên cứu tại Đại học Birmingham và công ty bảo mật Fuzzware đã thử nghiệm khả năng này trên 26 điện thoại và module di động. Họ phát hiện tính năng này được kích hoạt trên 9 thiết bị và đã sử dụng nó để thực thi mã riêng trên một bộ sạc xe điện thương mại.
6 trong số 8 module di động được thử nghiệm đã chấp nhận lệnh. Chỉ có 3 trong số 18 điện thoại thực hiện điều này, bao gồm: OPPO Find X5, OPPO Reno 14 F 5G và ASUS Zenfone 9. Không có mẫu iPhone hay Pixel nào nằm trong số đó.
Lỗ hổng này chủ yếu nằm trong phần cứng máy-đến-máy (M2M). 5 trong số 6 module bị ảnh hưởng là linh kiện của Quectel, trong đó có 3 module được lấy ra từ bộ sạc xe điện, bộ định tuyến công nghiệp và bộ điều khiển viễn thông của xe hơi.
Cơ chế tấn công và rủi ro đối với thiết bị IoT
Chỉ biết số điện thoại của nạn nhân là không đủ: mọi cuộc tấn công đều bắt đầu bằng một thẻ SIM độc hại đã được cắm sẵn vào khe cắm, có thể do tráo đổi thủ công, sử dụng một miếng ghép SIM mỏng (interposer), bị tuồn ra từ một nhà mạng bị xâm nhập, hoặc bị biến đổi thông qua phần mềm hay ngay trên dây chuyền sản xuất. Các thiết bị IoT không có người trông coi với khay SIM dễ tiếp cận và ít giao diện bảo vệ khác chính là mục tiêu lý tưởng cho kiểu tấn công này.
Hiện tại không có bản vá duy nhất cho vấn đề này. Tất cả 9 thiết bị chấp nhận lệnh đều sử dụng bộ xử lý truyền thông của Qualcomm. 5 thiết bị khác cũng dùng chip Qualcomm trong khảo sát lại không chấp nhận lệnh, điều mà nghiên cứu cho rằng là nhờ vào sự tùy chỉnh của các nhà sản xuất thiết bị (OEM).
Qualcomm cho biết họ đã xây dựng một cấu hình tăng cường giúp tắt giao diện này theo mặc định. Quectel cho biết họ đã giảm thiểu lỗ hổng truy cập tệp và vẫn đang xử lý chính giao diện này. Tuy nhiên, cả hai đều chưa công bố báo cáo tư vấn bảo mật công khai, và cổng thông tin lỗ hổng của nhà sản xuất module yêu cầu đăng nhập mới có thể xem nội dung.
Các nhà nghiên cứu khuyến nghị rằng giao diện này nên được gia cố, loại bỏ hoặc tắt hoàn toàn. Cấu hình bảo mật sẽ được đặt làm mặc định trên các thiết bị trong tương lai và các bản vá sẽ được gửi tới các module bị ảnh hưởng dưới dạng cập nhật phần mềm. Đối với những đơn vị đang vận hành hệ thống IoT di động, bước cần thiết hiện nay là yêu cầu nhà cung cấp module xác nhận xem tính năng RUN AT có đang được bật trong firmware hay không và liệu có thể tắt nó đi hay không. Cho đến nay, chưa có cuộc tấn công nào sử dụng giao diện này được ghi nhận trong thực tế.
Sức mạnh của lệnh "RUN AT"
Lệnh đang được đề cập là một proactive command (lệnh chủ động), một phần của bộ tiêu chuẩn mà SIM có thể gửi ngược lại modem thay vì chờ được đọc. RUN AT yêu cầu modem thực thi một lệnh AT – ngôn ngữ điều khiển modem có từ năm 1981 và được mỗi nhà sản xuất mở rộng thêm. Việc hỗ trợ lệnh này đồng nghĩa với việc trao cho thẻ SIM một bảng điều khiển (console) đa năng.
Marius Muench, trợ lý giáo sư khoa học máy tính tại Đại học Birmingham, cho biết khả năng chủ động của SIM và bề mặt tấn công mà nó mở ra được "định nghĩa rõ ràng trong các thông số kỹ thuật của truyền thông di động". Do đó, ông coi kết quả này là tuân thủ tiêu chuẩn hơn là một lỗi vi phạm tiêu chuẩn.
Kiến trúc hệ thống là yếu tố khiến các thiết bị IoT trở nên tồi tệ hơn. Gần như mọi module mà nhóm nghiên cứu xem xét đều chạy một bộ xử lý ứng dụng nhỏ bên cạnh chip vô tuyến, thường là Android trên nền ARM Cortex-A7, và chuyển tiếp bất kỳ lệnh AT nào mà chip vô tuyến không tự xử lý.
Thẻ SIM cuối cùng sẽ giao tiếp với một máy tính Linux nhỏ, tạo ra một "bề mặt tấn công phong phú cho các SIM độc hại", theo báo cáo được trình bày tại USENIX WOOT ở Baltimore.
Các kịch bản tấn công thực tế
Trong trường hợp bộ sạc xe điện thương mại Autel (model MAXI US AC W12-L-4G), tiến trình atfwd_daemon của module Quectel EC25 đã chuyển văn bản do kẻ tấn công kiểm soát vào một lệnh shell thông qua lỗi format string không an toàn. Một ký tự dòng mới (newline) đã vượt qua được bộ lọc danh sách đen, cho phép thực thi mã hoàn toàn thông qua các lệnh mà SIM ban hành.
Trên điện thoại OPPO Reno 14 F 5G, lệnh AT+COPS=0,,,0 đã ép điện thoại chỉ sử dụng mạng 2G. Người dùng không thể hoàn tác điều này bằng cách bật chế độ máy bay, chọn mạng thủ công hay tắt SIM. Vì 2G thiếu cơ chế xác thực lẫn nhau, việc hạ cấp mạng này tạo điều kiện cho kẻ tấn công thiết lập các trạm thu phát sóng giả (fake base station).
Công cụ của nhóm nghiên cứu, được phát hành dưới tên CATana, đã tìm thấy 198 lệnh AT có thể truy cập thông qua SIM trên chiếc điện thoại OPPO đó.
Trong một nghiên cứu khác, nhóm đã chứng minh một SIM độc hại có thể khiến một chiếc điện thoại Android đang khóa tự động mở một trang web do kẻ tấn công kiểm soát mà không cần người dùng tương tác (đã thử nghiệm trên Pixel 6, 8 và 9). Google đã vá lỗ hổng riêng biệt này (CVE-2025-48618) trong bản tin bảo mật Android tháng 12 năm 2025.
Muench tin rằng mọi module trong các dòng EC25, EG25 và RM52xN của Quectel đều bị ảnh hưởng, và có khả năng các module khác dựa trên modem Qualcomm cũng gặp tình trạng tương tự. Các báo cáo đã được gửi tới Google, Oppo, Quectel, Semtech và Qualcomm vào tháng 3/2026. Giao diện SIM AT bị lộ hiện được theo dõi dưới mã CVE-2026-57550.
