Um cartão SIM malicioso pode ordenar que o dispositivo execute comandos escolhidos pelo atacante. Em módulos celulares integrados a carregadores de veículos elétricos, roteadores industriais e unidades de telemetria veicular, isso é suficiente para assumir o controle do aparelho inteiro.
Pesquisadores da Universidade de Birmingham e da empresa de segurança Fuzzware testaram 26 celulares e módulos celulares quanto a essa capacidade, descobriram que ela estava ativada em 9 deles e a usaram para executar seu próprio código em um carregador de VE comercial.
Seis dos oito módulos celulares testados aceitaram o comando. Apenas 3 de 18 celulares o fizeram: o OPPO Find X5, o OPPO Reno 14 F 5G e o ASUS Zenfone 9. Nenhum iPhone ou Pixel estava entre eles.
A vulnerabilidade está em hardware de comunicação máquina a máquina. Cinco dos seis eram componentes da Quectel, três deles extraídos de um carregador de VE, um roteador industrial e uma unidade de controle de telemetria veicular.
Conhecer o número da vítima não é suficiente: todo ataque começa com um cartão hostil já no slot, trocado manualmente, inserido como um fino interposer, expulsado por um operador comprometido ou subvertido em software ou na linha de produção. Equipamentos IoT deixados sem supervisão com bandeja de SIM acessível e poucas outras interfaces expostas são exatamente onde esse tipo de ataque vale a pena.
Não existe uma correção única. Cada um dos nove dispositivos que aceitaram o comando executa um processador de comunicação Qualcomm. Cinco outros aparelhos baseados em Qualcomm no levantamento não o aceitaram, o que o artigo sugere ser devido à personalização dos fornecedores.
A Qualcomm informou aos pesquisadores que desenvolveu uma configuração protegida que desativa a interface por padrão. A Quectel afirma que mitigou a falha de acesso a arquivos e ainda está trabalhando na própria interface. Nenhuma das duas publicou um comunicado advisory, e o portal de vulnerabilidades do fabricante de módulos exige login para ver qualquer informação.
A posição dos próprios pesquisadores é que a interface deve ser protegida, descontinuada ou desativada completamente. Essa configuração protegida será o padrão em dispositivos futuros, disseram os pesquisadores à The Hacker News, e as correções também chegarão aos módulos afetados como atualizações, embora a equipe não tenha verificado se os caminhos de código RUN AT são removidos ou apenas desativados. Para quem opera frotas de IoT celular, o passo disponível hoje é perguntar ao fornecedor do módulo se o RUN AT está habilitado no firmware que eles enviaram e se pode ser desativado. Nenhum ataque usando essa interface foi relatado.
O comando em questão é um comando proativo, parte do conjunto padronizado que um SIM pode enviar ao modem em vez de apenas esperar para ser lido. RUN AT pede ao modem para executar um comando AT, a linguagem de controle de modem que remonta ao Hayes Smartmodem de 1981 e que cada fornecedor estende com suas próprias adições. Suportá-la, portanto, entrega ao cartão um console de propósito geral.
Especificações técnicas e o problema subjacente
Marius Muench, professor assistente de ciência da computação da Universidade de Birmingham, disse no comunicado da universidade sobre o trabalho que a capacidade proativa do SIM e a superfície de ataque que ela abre são "explicitamente definidas nas especificações técnicas para comunicação celular", razão pela qual ele classifica o resultado como compatível com o padrão em vez de uma violação dele.
Essa classificação importa para o formato de uma correção. As falhas individuais são bugs comuns e podem ser corrigidos; a interface que os expõe é uma capacidade documentada, e desativá-la é uma decisão que cada fornecedor toma para seus próprios produtos.
A arquitetura é o que torna o lado IoT pior. Quase todo módulo que a equipe examinou executa um pequeno processador de aplicações junto ao rádio, geralmente Android em um ARM Cortex-A7, e repassa qualquer comando AT que o rádio não来处理 sozinho. O cartão acaba falando com um pequeno computador Linux, que seu artigo, apresentado esta semana no USENIX WOOT em Baltimore, chama de "uma rica superfície de ataque para SIMs hostis".
Estudo de caso: o carregador Autel
O carregador é uma unidade comercial da Autel que o artigo identifica pelo código de modelo MAXI US AC W12-L-4G. Dentro dele, o módulo Quectel EC25AFXDGA passa texto controlado pelo atacante para uma chamada de shell através de uma string de formato insegura. Uma lista de bloqueio de caracteres deveria impedir escapes de shell. Uma quebra de linha passou por ela. Duas etapas depois, a equipe tinha execução de código, conduzida inteiramente por comandos que o SIM emitiu. A Autel não está entre as empresas que o artigo diz terem sido notificadas; o código vulnerável pertence ao módulo. Muench disse à The Hacker News que a equipe fez a divulgação para a Quectel como fornecedora do módulo, que então notificou seus próprios clientes.
Ataques a celulares: downgrade para 2G
Em um OPPO Reno 14 F 5G, um dos três celulares que aceitaram o RUN AT, o comando AT+COPS=0,,,0 prendeu o celular ao 2G. O proprietário não pode desfazer isso. Nem alternando o modo avião, nem trocando para seleção manual de rede, nem alternando dados móveis, nem desativando o SIM, nem alterando a geração de rede preferida nas configurações. O 2G não tem autenticação mútua, então um downgrade que a vítima não pode reverter entrega ao atacante as condições para uma estação base falsa.
Dois comandos adicionais desligaram o celular e desativaram o modem. A ferramenta da equipe, lançada como CATana, encontrou 198 comandos AT alcançáveis através do SIM naquele aparelho OPPO.
Leitura arbitrária de arquivos via Quectel EG25-G
Um terceiro estudo de caso leu arquivos arbitrários de um Quectel EG25-G através de um daemon TFTP que roda como root e não verifica se um caminho é um link simbólico, depois enviou-os usando os próprios comandos AT+QSMTP do módulo. Esse requer mais do que um cartão hostil: o link malicioso precisa estar primeiro no sistema de arquivos do módulo, colocado lá via cartão SD ou pelo flash de uma partição modificada.
Android e a falha separada do browser
Durante o desenvolvimento deste trabalho, o grupo demonstrou que um SIM hostil podia fazer um celular Android bloqueado abrir uma página web controlada pelo atacante sem nenhuma interação do usuário, em Pixel 6, 8 e 9 entre outros. O Google corrigiu essa falha separada como CVE-2025-48618 no boletim Android de dezembro de 2025.
Escopo da vulnerabilidade
O levantamento estabelece apenas o que seus 26 dispositivos fazem. Muench disse que a equipe está bastanteconfiante de que todo módulo da série Quectel EC25, EG25 e RM52xN é afetado, e pensa que é provável que outros módulos Quectel construídos em um modem Qualcomm também sejam. Ele disse que esses módulos aparecem em carros, carregadores de veículos, terminais de pagamento e outros dispositivos IoT, e que a Quectel não libera atualizações de firmware publicamente, o que torna a exposição difícil de verificar em escala. Ninguém estimou quantos estão em serviço.
Os relatórios foram enviados a Google, Oppo, Quectel, Semtech e Qualcomm em março de 2026, e à GSMA em maio. Muench disse que a interface SIM AT exposta é rastreada como CVE-2026-57550, atribuída através da Qualcomm, e como CVD-2026-0122 pela GSMA, embora o registro CVE ainda não tenha aparecido na lista publicada do Programa CVE. A Oppo e o Google trataram as descobertas como informativas, mas fora do escopo de seu programa de bug bounty.
A Semtech confirmou e planeja liberar correções escritas pela Qualcomm. A Quectel também confirmou e disse que a injeção de comando já era conhecida e corrigida em firmware mais recente, embora não tenha publicado os números de versão afetados ou corrigidos.
O mesmo daemon tem histórico anterior: uma injeção de comando alcançável via AT em um ponto de entrada diferente foi publicada em 2021 como CVE-2021-31698. Em 10 de agosto, nenhuma das cinco empresas havia emitido um advisory público sobre a pesquisa, o portal advisory da Quectel permanece restrito por login, e nenhuma exploração foi relatada.
