Um cartão SIM malicioso pode ordenar que o dispositivo em que está inserido execute comandos escolhidos pelo atacante. Em módulos celulares embutidos em carregadores de veículos elétricos, roteadores industriais e unidades de telemática automotiva, isso basta para assumir o controle de todo o equipamento.
Pesquisadores da Universidade de Birmingham e da empresa de segurança Fuzzware testaram 26 celulares e módulos celulares para verificar essa capacidade. Eles a encontraram ativada em nove deles e a utilizaram para executar seu próprio código em um carregador comercial de veículo elétrico.
Seis dos oito módulos celulares avaliados aceitaram o comando. Entre 18 celulares, apenas três responderam positivamente: OPPO Find X5, OPPO Reno 14 F 5G e ASUS Zenfone 9. Nenhum iPhone ou Pixel estava na lista.
A exposição está em hardware de máquina para máquina. Cinco dos seis componentes eram da Quectel, e três deles foram retirados de um carregador de veículo elétrico, de um roteador industrial e de uma unidade de controle telemático de um carro.
Saber o número da vítima não é suficiente. Todo ataque começa com um cartão hostil já no slot, trocado manualmente, inserido como um fino interpositor, colocado por um operador comprometido ou corrompido por software ou na linha de produção. Equipamentos de IoT sem supervisão, com bandeja de SIM acessível e poucas outras interfaces expostas, são exatamente o tipo de alvo em que essa aposta vale a pena.
Não existe um único patch. Todos os nove dispositivos que aceitaram o comando usam um processador de comunicação Qualcomm. Outros cinco aparelhos baseados em Qualcomm, incluídos na amostra, não aceitaram o comando, o que o artigo atribui a personalizações do fabricante.
A Qualcomm informou aos pesquisadores que criou uma configuração reforçada que desativa a interface por padrão. A Quectel afirma ter mitigado a falha de acesso a arquivos e ainda trabalha na própria interface. Nenhuma das duas publicou um comunicado oficial, e o portal de vulnerabilidades do fabricante dos módulos exige login para exibir qualquer informação.
A posição dos pesquisadores é que a interface deve ser reforçada, descontinuada ou desativada de vez. Eles afirmaram que essa configuração reforçada será o padrão em dispositivos futuros, e que correções também chegarão aos módulos afetados por meio de atualizações, embora a equipe não tenha verificado se os caminhos de código do RUN AT foram removidos ou apenas desativados. Para quem opera frotas de IoT com conectividade celular, o passo disponível hoje é perguntar ao fornecedor do módulo se o RUN AT está habilitado no firmware entregue e se ele pode ser desativado. Até agora, não há relatos de ataques usando essa interface.
O comando em questão é um comando proativo, parte do conjunto padronizado que um SIM pode enviar de volta ao modem em vez de esperar ser lido. O RUN AT pede que o modem execute um comando AT, a linguagem de controle de modems que remonta ao Hayes Smartmodem, de 1981, e que cada fabricante amplia com suas próprias adições. Com isso, o cartão ganha uma espécie de console de uso geral.
Marius Muench, professor assistente de ciência da computação na Universidade de Birmingham, afirmou no comunicado da universidade sobre o trabalho que a capacidade proativa do SIM e a superfície de ataque que ela abre são “definidas explicitamente nas especificações técnicas de comunicação celular”. Por isso, ele descreve o resultado como aderente ao padrão, e não como uma quebra dele.
Essa interpretação importa para entender como seria uma correção. As falhas individuais são bugs comuns e podem ser corrigidas, mas a interface que as expõe é uma capacidade documentada, e desativá-la é uma decisão que cada fabricante toma para seus produtos.
A arquitetura é o que piora o cenário no lado de IoT. Quase todos os módulos analisados pela equipe executam um pequeno processador de aplicação ao lado do rádio, normalmente Android em um ARM Cortex-A7, e encaminham qualquer comando AT que o rádio não trate sozinho. O cartão passa a conversar com um pequeno computador Linux, que o artigo, apresentado nesta semana no USENIX WOOT, em Baltimore, descreve como “uma superfície de ataque rica para SIMs hostis”.
O carregador é uma unidade comercial da Autel, identificada no artigo pelo código de modelo MAXI US AC W12-L-4G. Dentro dele, o módulo Quectel EC25AFXDGA usa o atfwd_daemon para repassar texto controlado pelo atacante a uma chamada de shell por meio de uma string de formato insegura. Uma lista de caracteres bloqueados deveria impedir escapes de shell. Uma quebra de linha passou por ela. Dois estágios depois, a equipe obteve execução de código, impulsionada inteiramente por comandos emitidos pelo SIM. A Autel não está entre as empresas que, segundo o texto, foram notificadas. O código com falha pertence ao módulo. Muench disse que a divulgação foi feita à Quectel, como fornecedora do módulo, e que a empresa notificou seus próprios clientes.
Em um OPPO Reno 14 F 5G, um dos três celulares que aceitaram o RUN AT, o comando AT+COPS=0,,,0 fixou o aparelho em 2G. O dono não consegue desfazer isso. Nem ao ativar e desativar o modo avião, nem ao trocar para seleção manual de rede, nem ao desligar os dados móveis, nem ao desabilitar o SIM, nem ao alterar nas configurações a geração preferida da rede. Como o 2G não tem autenticação mútua, um downgrade que a vítima não consegue reverter cria as condições para uma estação-base falsa.
Outros dois comandos desligaram o aparelho e desativaram o modem. A ferramenta criada pela equipe, chamada CATana, encontrou 198 comandos AT acessíveis via SIM nesse celular da OPPO.
Um terceiro estudo de caso permitiu ler arquivos arbitrários de um Quectel EG25-G por meio de um daemon TFTP que roda como root e não verifica se um caminho é um link simbólico. Depois, os arquivos eram enviados por e-mail usando os próprios comandos AT+QSMTP do módulo. Esse ataque exige mais do que um cartão hostil: o link malicioso precisa já estar no sistema de arquivos do módulo, colocado ali por meio de um cartão SD ou pelo flash de uma partição preparada para isso.
Ao desenvolver essa pesquisa, o grupo mostrou que um SIM hostil poderia fazer um celular Android bloqueado abrir uma página da web controlada pelo atacante sem qualquer interação do usuário, incluindo aparelhos Pixel 6, 8 e 9, entre outros. O Google corrigiu essa falha separada como
CVE-2025-48618
no boletim de dezembro de 2025 do Android.
A pesquisa comprova apenas o comportamento dos 26 dispositivos testados. Muench afirmou que a equipe está razoavelmente confiante de que todos os módulos das séries EC25, EG25 e RM52xN da Quectel são afetados e considera provável que outros módulos da empresa baseados em modem Qualcomm também sejam. Segundo ele, esses módulos aparecem em carros, carregadores de veículos, terminais de pagamento e outros dispositivos de IoT, e a Quectel não libera atualizações de firmware publicamente, o que dificulta verificar a exposição em larga escala. Ninguém estimou quantos estão em uso.
Os relatórios foram enviados ao Google, Oppo, Quectel, Semtech e Qualcomm em março de 2026, e à GSMA em maio. Muench disse que a interface SIM AT exposta é acompanhada como CVE-2026-57550, atribuída por meio da Qualcomm, e como CVD-2026-0122 pela GSMA, embora o registro de CVE ainda não apareça na lista publicada do programa CVE. Oppo e Google trataram os achados como informativos, mas fora do escopo de seus programas de bug bounty.
A Semtech confirmou os resultados e planeja distribuir patches desenvolvidos pela Qualcomm. A Quectel também confirmou os achados e disse que a injeção de comandos já era conhecida e foi corrigida em firmwares mais novos, embora não tenha publicado os números das versões afetadas ou corrigidas.
O mesmo daemon já tinha histórico. Uma injeção de comandos acessível por AT em outro ponto de entrada foi divulgada em 2021 como
CVE-2021-31698
. Até 10 de agosto, nenhum dos cinco fabricantes havia emitido um comunicado público sobre a pesquisa, o portal de avisos da Quectel segue restrito por login e não há relatos de exploração.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...