Cartões SIM maliciosos podem mandar no teu telemóvel à distância

O cartão SIM não é só um pedaço de plástico que a operadora manda pelo correio. Uma equipa de investigadores mostrou que um SIM malicioso consegue desligar telemóveis, roubar ficheiros e obrigar ligações 5G a cair para 2G, usando apenas funcionalidades previstas nas normas oficiais das redes móveis.

O trabalho, apresentado na conferência USENIX WOOT em Baltimore, analisa a funcionalidade chamada proactive SIM, que permite ao cartão enviar comandos ao dispositivo onde está inserido. Entre esses comandos está o famigerado RUN AT, que autoriza a execução de comandos AT, a linguagem que manda nos modems desde os anos 80. Se esse poder cai num SIM hostil, o modem deixa de ser teu, passa a ser dele.

Tomasz Piotr Lisowski e Marius Muench, da Universidade de Birmingham, em conjunto com Kristian Covic da Fuzzware, criaram uma ferramenta chamada CATANA para testar até onde podia ir um SIM malicioso. Em 26 dispositivos analisados, 18 smartphones e 8 modems IoT, descobriram que 9 expunham uma interface de comandos AT ao SIM. Nos dispositivos de Internet das Coisas a situação foi pior: 7 em 8 modems abriam a porta de par em par. Daqui saíram quatro vulnerabilidades concretas e ataques demonstrados com execução de código, leitura arbitrária de ficheiros, negação de serviço e downgrade de ligações para 2G.

Num carregador de veículos eléctricos Autel com um módulo celular Quectel EC25-AFX, os investigadores usaram comandos vindos do SIM para explorar uma falha de injection no processador de aplicações baseado em Linux e obter execução de código. Num Oppo Reno14 F 5G, encontraram 198 comandos AT e variantes acessíveis via SIM, incluindo ordens para desligar o telemóvel, matar o modem ou empurrar a ligação para 2G. E não era um simples glitch: mesmo desligando a SIM, mudando as definições de rede ou ligando e desligando o modo de voo, o telemóvel teimava em ficar preso à rede de 2G.

A mesma equipa mostrou ainda roubo de ficheiros num modem Quectel EG25-G, combinando links simbólicos maliciosos com comandos enviados a partir do SIM para enviar um ficheiro específico para um servidor controlado pelo atacante. Para piorar, em versões vulneráveis de Android, um SIM hostil podia usar o comando normalizado LAUNCH BROWSER para abrir um site malicioso sem qualquer interação do utilizador, mesmo com o telemóvel bloqueado. A falha, rastreada como CVE-2025-48618, foi corrigida em Android 13 a 16 em dezembro de 2025.

Antes de começares a olhar de lado para o tabuleiro dos SIM na gaveta, há um detalhe crucial: para estes ataques é preciso controlo direto sobre o cartão. Isso pode vir de software comprometido no SIM, adulteração física, abuso da administração remota pela própria operadora ou problemas na cadeia de fornecimento. Não é um cenário de phishing banal, mas também não é ficção, especialmente num mercado onde já vimos ataques a fabricantes como a Oppo e routers com firmware desaparecido à pressa. O que assusta aqui é outra coisa: como nota Muench, toda esta superfície de ataque está descrita nas especificações oficiais de comunicações móveis. As falhas não são desvios, são usos criativos da norma.

Os investigadores divulgaram as descobertas a Google, Oppo, Quectel, Semtech, Qualcomm e à associação GSMA. A Qualcomm já tem uma configuração endurecida que desactiva por omissão a interface de comandos AT para o SIM, e a GSMA acompanha o problema sob o identificador CVD-2026-0122. A equipa defende uma solução mais radical: reformar ou matar de vez o RUN AT e outros comandos de risco. Em teoria é simples, na prática significa mexer numa base instalada gigantesca de módulos, firmwares e SIMs. Enquanto isso não acontece, o cartão SIM continua a ser tratado como peça neutra no modelo de ameaças, quando o trabalho de Baltimore mostra que merece um lugar ao lado de firmware de modem, stack de rede e resto do sistema operativo. Quem desenha redes 5G e IoT como se o SIM fosse inocente está a jogar com as regras erradas.

Fonte: The Register