پژوهشگران نشان داده‌اند سیم‌کارت‌های دستکاری‌شده می‌توانند به برخی گوشی‌ها و تجهیزات سلولار فرمان بدهند و خطرات امنیتی ایجاد کنند.
- سیم‌کارت می‌تواند بیش از اتصال به شبکه انجام دهد: در برخی دستگاه‌ها می‌تواند فرمان‌هایی را به مودم ارسال کند.
- 2G نقطه ضعف مهمی است: برخی دستگاه‌ها را می‌توان مجبور کرد از 4G به 2G منتقل شوند؛ شبکه‌ای که بررسی هویت دکل را با سخت‌گیری کمتری انجام می‌دهد.
- خطر فقط محدود به گوشی نیست: شارژرهای خودروهای برقی، روترها، کنتورها و خودروها نیز ممکن است از ماژول‌های سلولاری استفاده کنند که در برابر این نوع فرمان‌ها آسیب‌پذیر هستند.
سیم‌کارت مخرب فقط یک ابزار برای اتصال دستگاه به شبکه تلفن همراه نیست. پژوهشگران نشان داده‌اند که یک سیم‌کارت دستکاری‌شده می‌تواند در برخی دستگاه‌ها فرمان‌هایی قدرتمند اجرا کند؛ از انتقال اجباری گوشی از 4G به 2G گرفته تا ارسال پیام، استخراج اطلاعات شناسایی دستگاه و حتی خاموش کردن آن.
این پژوهش روی ۱۸ گوشی هوشمند و ۸ ماژول سلولار انجام شد. در مجموع، ۹ دستگاه از ۲۶ دستگاه بررسی‌شده فرمان‌های ارسال‌شده از سیم‌کارت را اجرا کردند. نکته مهم این است که این موضوع در معنای معمول یک «آسیب‌پذیری نرم‌افزاری» نیست؛ زیرا استانداردهای منتشرشده شبکه‌های سلولار به سیم‌کارت اجازه ارسال چنین فرمان‌هایی را می‌دهند.
سیم‌کارت مخرب چگونه می‌تواند به دستگاه فرمان بدهد؟
پژوهشگران Tomasz Piotr Lisowski و Marius Muench از University of Birmingham با همکاری Kristian Covic از شرکت امنیتی Fuzzware سیم‌کارت‌های دستکاری‌شده‌ای ساختند.
آن‌ها این سیم‌کارت‌ها را روی ۱۸ گوشی هوشمند و ۸ ماژول سلولار آزمایش کردند. این ماژول‌ها فقط در گوشی‌ها استفاده نمی‌شوند. برخی از نمونه‌های بررسی‌شده در تجهیزاتی مانند شارژر خودروهای برقی، روتر صنعتی و خودرو قرار داشتند.
- ۱۸ گوشی هوشمند بررسی شد.
- ۸ ماژول سلولار بررسی شد.
- ۹ مورد از ۲۶ دستگاه فرمان‌های سیم‌کارت را اجرا کردند.
- ماژول‌های بررسی‌شده در شارژر خودرو، روتر صنعتی و خودرو نیز وجود داشتند.
دستورات سیم‌کارت از یک فناوری چند دهه‌ای استفاده می‌کنند
هر مودم سلولار مجموعه‌ای از دستورهای کوتاه متنی را دریافت می‌کند. با استفاده از این دستورها می‌توان اطلاعاتی مانند نسخه Firmware را دریافت کرد، شماره‌ای را شماره‌گیری کرد یا شبکه مورد استفاده را انتخاب کرد.
این دستورها با نام AT Commands شناخته می‌شوند.
نخستین نمونه‌های این دستورات در Hayes Smartmodem در سال ۱۹۸۱ ارائه شدند. پس از آن، هر تولیدکننده دستورهای اختصاصی خود را نیز به این مجموعه اضافه کرد.
از آنجا که این دستورها قابلیت‌های زیادی دارند، سازندگان گوشی طی سال‌ها دسترسی به این رابط را محدود کرده‌اند. در یک گوشی مدرن، دسترسی مستقیم به این رابط بدون مجوزهای ویژه امکان‌پذیر نیست.
اما سیم‌کارت یک مسیر دسترسی جداگانه دارد. قابلیتی با نام Proactive SIM به سیم‌کارت اجازه می‌دهد مجموعه‌ای از درخواست‌های کوتاه را به مودم ارسال کند. یکی از این درخواست‌ها می‌تواند به مودم بگوید یک دستور AT را اجرا کند.
گوشی‌ها دستورات سیم‌کارت را مسدود کردند اما ماژول‌ها نه
تیم پژوهشی ۱۸ گوشی از ۱۰ برند مختلف را بررسی کرد. این گوشی‌ها از تراشه‌های ۶ تولیدکننده استفاده می‌کردند.
از میان ۱۸ گوشی، تنها ۳ گوشی دستورات ارسال‌شده از سیم‌کارت را پذیرفتند.
در مقابل، ۶ مورد از ۸ ماژول سلولار دستورات را اجرا کردند. این قطعات در تجهیزاتی قرار دارند که معمولاً به‌عنوان رایانه شناخته نمی‌شوند؛ از جمله شارژرها، روترها، کنتورها و جعبه تلماتیک خودرو.
مشکل در نرم‌افزار مودم برخی گوشی‌ها وجود داشت
در گوشی‌هایی که دستورات سیم‌کارت را رد می‌کردند، مسدودسازی تنها به یک ورودی در یک فهرست محدود شده بود.
در نرم‌افزار مودم Google Pixel 9 و Motorola One Vision، پژوهشگران این فرمان را در همان فهرست پیدا کردند. با این حال، کدی که امکان اجرای آن فرمان را فراهم می‌کرد همچنان در نرم‌افزار وجود داشت.
Muench، استادیار علوم کامپیوتر در University of Birmingham، گفت سیم‌کارت‌های مخرب معمولاً تهدیدی نیستند که بیشتر مهندسان هنگام طراحی سیستم‌ها برای آن برنامه‌ریزی کنند.
او گفت: «پژوهشگران دیگر، کارشناسان امنیت سایبری و اسناد اطلاعاتی افشاشده پیش از ما برخی از خطرات سیم‌کارت‌های مخرب را نشان داده‌اند. با این حال، خطرات ناشی از آن‌ها هنوز به‌طور کامل کاهش نیافته است. احتمالاً یکی از دلایل این موضوع آن است که سیم‌کارت‌های مخرب در بیشتر مدل‌های تهدید در نظر گرفته نمی‌شوند؛ اگرچه به‌آرامی شاهد تغییر امیدوارکننده‌ای در این زمینه هستیم.»
سیم‌کارت مخرب می‌تواند گوشی را به شبکه 2G منتقل کند
در گوشی OPPO Reno 14 F 5G، سیم‌کارت دستکاری‌شده ارتباط گوشی با تمام شبکه‌ها به‌جز 2G را قطع کرد.
این گوشی پیش از حمله روی 4G قرار داشت و می‌توانست چندین شبکه 4G را دریافت کند. پس از اجرای فرمان‌ها، تنها شبکه‌های 2G برای گوشی قابل دسترسی بودند.
کاربر نمی‌تواند این وضعیت را از طریق خود گوشی برطرف کند. فعال کردن حالت هواپیما نیز کمکی نمی‌کند.
- فعال کردن Airplane Mode مشکل را برطرف نمی‌کند.
- خاموش کردن سیم‌کارت از تنظیمات شبکه سلولار نیز مؤثر نیست.
- فعال و غیرفعال کردن Mobile Data مشکل را حل نمی‌کند.
- تغییر نسل شبکه ترجیحی نیز نتیجه‌ای ندارد.
- انتخاب دستی شبکه فقط شبکه‌های 2G را نمایش می‌دهد.
چرا 2G خطر بیشتری ایجاد می‌کند؟
ریشه این مشکل به چیزی مربوط می‌شود که شبکه 2G انجام نمی‌دهد.
یک گوشی 2G هویت دکل مخابراتی را با سخت‌گیری بسیار کمتری نسبت به گوشی 4G بررسی می‌کند. همین ویژگی امکان استفاده از دکل‌های مخابراتی جعلی را فراهم می‌کند.
پژوهشگران با استفاده از دو فرمان دیگر توانستند گوشی را خاموش کنند و سپس مودم آن را نیز خاموش کنند.
هر دو پس از راه‌اندازی مجدد دوباره کار کردند. برای هیچ‌کدام از این عملیات خاموش کردن، نیازی به لمس گوشی توسط مالک نبود.
دسترسی سیم‌کارت مخرب به شارژر خودرو برقی رسید
جدی‌ترین نتیجه این پژوهش مربوط به یک شارژر خودروی برقی Autel بود که از یک ماژول Quectel استفاده می‌کرد.
برنامه‌ای که روی این ماژول اجرا می‌شود، بر اساس متن دریافتی، فرمان‌های سیستمی ایجاد می‌کند. یک فیلتر نیز کاراکترهای معمول Escape را مسدود می‌کند؛ اما این فیلتر کاراکتر Newline را مسدود نمی‌کند.
تیم Lisowski یک برنامه کوچک Wrapper نوشت و با استفاده از آن توانست کد خود را از طریق سیم‌کارت اجرا کند.
دسترسی به فایل‌ها در ماژول Quectel
پژوهشگران در یک ماژول مستقل Quectel به جای اجرای کد، فایل‌ها را هدف قرار دادند.
Firmwareهای قدیمی‌تر اجازه می‌دادند مسیر فایل‌ها از پوشه اختصاصی خود خارج شود. سرویس فایل نیز بررسی نمی‌کرد که یک فایل واقعاً یک فایل است یا به فایل دیگری اشاره می‌کند.
تیم پژوهشی لینکی ایجاد کرد که به فایل دیگری اشاره می‌کرد. سپس از فرمان ایمیل خود ماژول استفاده کرد تا آن فایل را به سروری که تحت کنترل پژوهشگران بود ارسال کند.
تمام دستگاه‌هایی که فرمان‌ها را پذیرفتند، هنگام درخواست سیم‌کارت، اطلاعات زیر را گزارش کردند:
- نوع دستگاه
- نسخه Firmware
- شناسه سخت‌افزاری منحصربه‌فرد دستگاه
تولیدکنندگان در حال انتشار اصلاحیه‌های امنیتی هستند
تیم پژوهشی در ماه مارس ۲۰۲۶، یافته‌های خود را با Google، Oppo، Quectel، Semtech و Qualcomm در میان گذاشت.
سپس در ماه مه، GSMA نیز وارد این فرایند شد. GSMA نهاد صنفی اپراتورهای تلفن همراه است.
Qualcomm یک تنظیمات سخت‌گیرانه‌تر ایجاد کرد که به‌صورت پیش‌فرض این رابط را غیرفعال می‌کند.
Quectel نیز اصلاحیه‌ای برای مشکل مربوط به فایل‌ها منتشر کرده و در حال کار روی خود رابط است.
Semtech نیز قصد دارد از اصلاحیه Qualcomm استفاده کند.
Google و Oppo گزارش پژوهشگران را بررسی کردند اما به این نتیجه رسیدند که مشکلات مطرح‌شده خارج از محدوده برنامه‌های Bug Bounty آن‌ها قرار می‌گیرند.
Muench گفت: «همکاری با شرکت‌های تحت تأثیر و GSMA بسیار خوب بود. گزارش‌های ما با جدیت بررسی شدند و تولیدکنندگان اصلی، به‌روزرسانی‌های نرم‌افزاری و پیکربندی‌های سخت‌گیرانه را در اختیار مشتریان خود قرار می‌دهند.»
یک مشکل دیگر در گوشی‌های اندرویدی
تیم پژوهشی در گوشی‌های اندرویدی جدیدتر به مورد دیگری نیز برخورد کرد.
یک سیم‌کارت می‌توانست مرورگر را مجبور کند صفحه‌ای را که مهاجم انتخاب کرده بود باز کند؛ در حالی که صفحه قفل گوشی همچنان فعال بود.
Google از آن زمان این مشکل را نیز اصلاح کرده است.
ممکن است میلیون‌ها دستگاه همچنان در معرض خطر باشند
هنوز مشخص نیست چه تعداد از شارژرها، روترها، کنتورها و خودروهای نصب‌شده در جهان از ماژول‌هایی استفاده می‌کنند که می‌توانند فرمان‌های سیم‌کارت را دریافت کنند.
این بررسی تنها ۲۶ دستگاه را پوشش داد. با این حال، ماژول‌هایی از این نوع در مقیاس میلیونی تولید و عرضه می‌شوند.
Lisowski گفت: «حملاتی که ما پیدا کردیم تنها سطح اولیه چیزی است که با سیم‌کارت‌های مخرب امکان‌پذیر است. ما به کار خود برای آشکار کردن بخش‌های بیشتری از سطح حمله برای عموم ادامه خواهیم داد و امیدواریم با فروشندگان و نهادهای استانداردسازی همکاری کنیم تا خطرات موجود در دستگاه‌های امروزی و آینده برطرف شوند.»
این پژوهش کجا ارائه شد؟
مطالعه کامل در 2026 USENIX WOOT Conference on Offensive Technologies در شهر بالتیمور ارائه شد.
USENIX مقاله این پژوهش را به‌صورت دسترسی آزاد منتشر می‌کند.
سؤالات متداول
آیا سیم‌کارت مخرب می‌تواند گوشی را خاموش کند؟
بله. پژوهشگران نشان دادند در برخی دستگاه‌ها سیم‌کارت می‌تواند فرمان خاموش کردن گوشی و سپس مودم را ارسال کند. این عملیات بدون لمس گوشی توسط مالک انجام شد.
آیا سیم‌کارت مخرب می‌تواند گوشی 4G را به 2G منتقل کند؟
بله. در آزمایش روی OPPO Reno 14 F 5G، سیم‌کارت توانست ارتباط گوشی با شبکه‌های دیگر را قطع کند و تنها شبکه 2G را باقی بگذارد.
آیا این مشکل فقط مربوط به گوشی‌های هوشمند است؟
خیر. پژوهشگران این رفتار را در برخی ماژول‌های سلولار مورد استفاده در شارژر خودروهای برقی، روترها، کنتورها و تجهیزات خودرو مشاهده کردند.
آیا تولیدکنندگان برای این مشکل اصلاحیه منتشر کرده‌اند؟
بله. Qualcomm، Quectel و Semtech اقداماتی برای کاهش این خطر انجام داده‌اند. Google نیز یک مشکل مرتبط با باز کردن اجباری مرورگر را اصلاح کرده است.
چند دستگاه در این پژوهش بررسی شد؟
در مجموع ۲۶ دستگاه شامل ۱۸ گوشی هوشمند و ۸ ماژول سلولار بررسی شدند. ۹ دستگاه فرمان‌های ارسال‌شده از سیم‌کارت را اجرا کردند.
جمع‌بندی
سیم‌کارت مخرب نشان می‌دهد که سیم‌کارت فقط یک قطعه برای احراز هویت مشترک و اتصال به شبکه نیست. قابلیت‌های قدیمی و استانداردشده‌ای مانند Proactive SIM می‌توانند در برخی دستگاه‌ها مسیر ارسال فرمان به مودم را باز کنند.
پژوهشگران در آزمایش‌های خود توانستند برخی دستگاه‌ها را به 2G منتقل کنند، آن‌ها را خاموش کنند، اطلاعات شناسایی دستگاه را دریافت کنند و در یک مورد، از طریق ماژول یک شارژر خودرو برقی به اجرای کد دست پیدا کنند.
این پژوهش تنها ۲۶ دستگاه را بررسی کرده است، در حالی که ماژول‌های مشابه در مقیاس میلیونی عرضه می‌شوند. بنابراین تیم پژوهشی معتقد است یافته‌های فعلی تنها بخش کوچکی از سطح حمله احتمالی سیم‌کارت‌های مخرب را نشان می‌دهد.
برای آگاهی بیشتر درباره امنیت گوشی‌ها، تجهیزات متصل و تهدیدهای شبکه‌های سلولار، یافته‌های این پژوهش و به‌روزرسانی‌های امنیتی تولیدکنندگان را دنبال کنید.
