CATana подтвердила исполнение кода на промышленных модемах через SIM-карту
CATana подтвердила исполнение кода на промышленных модемах через SIM-карту Конкретика, бывшая под эмбарго, опубликована на WOOT 202. Разбор замыкает нашу линию по сотовому вектору - поддельные БС и LTE downgrade, отключение связи против БпЛА, SS7/Diameter, SIMjacker. Все они бьют снаружи: с подъезда с SDR или с межоператорского backbone. CATana - тот же класс, но изнутри: карта в лотке. Опрос 26 устройств ⚙️ 18 смартфонов: RUN AT в terminal profile заявили три модели, все на модеме Qualcomm ⚙️ 8 промышленных модулей: интерфейс закрыт только у Nordic nRF9160 и SIMcom SIM800C; Quectel EC25/EG25/RM520N/AG525R и Sierra Wireless RC7620 команду принимают 🤔 Прошлый тезис «в телефонах направление тупиковое» снят: OPPO Reno 14 F 5G принимает с карты 198 AT-команд Модуль - не микросхема связи, а второй компьютер Внутри Quectel живёт Qualcomm-CP с бэйсбендом и отдельный Cortex-A7 под Linux, который обслуживает большинство AT-команд. В зарядной станции AUTEL демон atfwd_daemon передавал параметры в system() через незакрытую форматную строку - исполнение кода на модеме, о котором головной контроллер изделия не знает. Отдельно: TFTP-демон работает от root и не различает файл и символьную ссылку, а SMTP-команды Quectel отправляют файл вложением в письмо. Всё это - с интерпонированной коммерческой карты, по легитимному каналу. Понижение до 2G больше не требует чужой вышки Ключевая связка с разбором поддельных БС. Раньше, чтобы посадить цель на 2G, нужен был Rogue eNodeB с SDR в 0,5-1 км. CATana показывает: командой AT+COPS с карты устройство пиннится на 2G само, без RF-железа и без подъезда - и это не снимается ни авиарежимом, ни ручным выбором сети, ни отключением SIM. Шумная и пеленгуемая половина атаки уходит внутрь аппарата; фейковой станции остаётся принять уже подготовленную цель. RUN AT 0 наследник SIMjacker SIMjacker из разбора Citizen Lab работал через S@T browser - одно семейство проактивных команд (PROVIDE LOCAL INFORMATION, SEND SHORT MESSAGE). RUN AT - та же модель «враждебной SIM», но мощнее: полный AT-интерфейс вплоть до чтения ФС и исполнения кода. S@T выводят из обращения, RUN AT - приходящая ему на смену поверхность, за которой почти никто не следит. Как капабилити она известна с DEF CON 2013 («The Secret Life of SIM Cards»); CATana - первый системный опрос того, что она делает на реальном железе. Практическое LTE-ретрансляторы, TCU, шлюзы КП и связные нагрузки БпЛА собраны на тех же модулях, где интерфейс открыт по умолчанию, экрана для подтверждения нет, а внутренний Linux - плацдарм к основной системе. Это прямо ложится на нашу линию про резервный сотовый C2 дронов: модем, который держат как запасной канал управления, сам по себе - второй компьютер на борту с чужой картой на входе. Раскрытие: вендоры уведомлены в марте 2026, GSMA - в мае (CVD-2026-0122); Qualcomm выпустил конфигурацию с отключённым по умолчанию SIM AT. Мер под эту модель угроз по-прежнему нет: своя цепочка поставок карт, контроль лотков, отключение проактивных команд там, где SIM Toolkit не нужен. Полезная Нагрузка