Cảnh báo: SIM độc hại có thể chiếm quyền điều khiển thiết bị IoT và Modem di động

Một nghiên cứu mới từ Đại học Birmingham và công ty bảo mật Fuzzware đã chỉ ra một phương thức tấn công nguy hiểm: thẻ SIM được cài cắm mã độc có thể ra lệnh cho modem di động thực thi các câu lệnh tùy ý. Điều này tạo ra rủi ro lớn cho các thiết bị IoT như trạm sạc xe điện, router công nghiệp và thiết bị viễn thông trên ô tô, vốn thường sử dụng các module di động có độ bảo mật chưa cao.

Cơ chế tấn công thông qua lệnh RUN AT

Vấn đề nằm ở khả năng của thẻ SIM trong việc gửi các lệnh “proactive” tới modem thay vì chỉ chờ đợi phản hồi. Cụ thể, lệnh RUN AT cho phép thẻ SIM thực thi các lệnh AT (ngôn ngữ điều khiển modem tiêu chuẩn). Khi một modem chấp nhận lệnh này, thẻ SIM sẽ trở thành một bảng điều khiển đa năng, cho phép kẻ tấn công thực thi mã lệnh trực tiếp trên hệ thống.

Trong thử nghiệm trên 26 thiết bị, các nhà nghiên cứu phát hiện 9 thiết bị (bao gồm cả các module của Quectel) cho phép thực thi lệnh này. Đáng chú ý, nhiều thiết bị IoT sử dụng các module chạy trên nền tảng Qualcomm, nơi các nhà sản xuất thường tùy biến firmware, dẫn đến việc vô tình mở ra bề mặt tấn công (attack surface) nguy hiểm.

Rủi ro thực tế trên thiết bị IoT và di động

Các nhà nghiên cứu đã minh chứng khả năng chiếm quyền điều khiển trên một trạm sạc xe điện thương mại. Bằng cách khai thác lỗ hổng format string trong daemon xử lý lệnh của module Quectel, họ đã có thể thực thi mã từ xa. Ngoài ra, trên một số mẫu điện thoại như OPPO Reno 14 F 5G, lệnh này có thể ép thiết bị chuyển sang mạng 2G – vốn không có cơ chế xác thực lẫn nhau, tạo điều kiện cho các cuộc tấn công giả mạo trạm phát sóng (fake base station).

Công cụ nghiên cứu mang tên CATana đã tìm thấy 198 lệnh AT có thể truy cập thông qua SIM trên thiết bị này. Một kịch bản khác cho thấy kẻ tấn công có thể đọc các tệp tin nhạy cảm trên module EG25-G thông qua daemon TFTP chạy dưới quyền root.

Khó khăn trong việc khắc phục

Lỗ hổng này được định danh là CVE-2026-57550. Tuy nhiên, việc vá lỗi không hề đơn giản vì:

• Không có bản vá chung cho tất cả các thiết bị.
• Nhiều nhà sản xuất module như Quectel không công khai cập nhật firmware, gây khó khăn cho việc kiểm soát quy mô ảnh hưởng.
• Các nhà sản xuất như Google hay OPPO cho rằng đây là vấn đề nằm ngoài phạm vi chương trình bug bounty của họ.

Các chuyên gia khuyến cáo các đơn vị vận hành hạ tầng IoT nên liên hệ trực tiếp với nhà cung cấp module để kiểm tra xem lệnh RUN AT có đang được kích hoạt trong firmware hay không và yêu cầu vô hiệu hóa nếu không cần thiết. Cho đến nay, chưa có báo cáo nào về việc khai thác thực tế lỗ hổng này trong tự nhiên.

Nguồn tham khảo: The Hacker News