Дослідники Томаш Пйотр Лісовські, Крістіан Кович і Маріус Мюнх виявили нові вразливості у сучасних смартфонах, які пов’язані з функцією RUN AT на SIM-картах. Про це повідомляє internetua.com із посиланням на результати їхнього наукового проєкту.
RUN AT — це механізм, що дозволяє SIM-карті надсилати пристрою AT-команди, які історично використовувалися для керування модемами. Якщо операційна система смартфона приймає такі інструкції без належної перевірки, зловмисники можуть отримати доступ до важливих апаратних і системних функцій пристрою.
Для перевірки цього вектору атаки команда розробила інструмент CATana, який дозволив протестувати механізм на реальних пристроях. У ході дослідження було протестовано 26 пристроїв, серед яких 18 сучасних смартфонів і 8 розумних пристроїв та модулів. Виявилося, що 9 із них дозволяють SIM-карті безперешкодно отримувати доступ до системного інтерфейсу. У результаті науковці знайшли чотири нові вразливості безпеки.
Особливо небезпечною серед виявлених загроз є атака типу «відмова в обслуговуванні», яка може повністю паралізувати пристрій і зробити його недоступним для користувача. Це означає, що ризики не обмежуються лише витоком даних, а можуть впливати на працездатність і зв’язок пристрою.
Як працює атака і хто у зоні ризику
За словами дослідників, для реалізації подібної атаки необхідно використовувати спеціально підготовлену SIM-карту із шкідливими інструкціями або встановити сторонній пристрій у канал зв’язку між SIM-картою і смартфоном. Звичайна SIM-карта не може самостійно захопити контроль над гаджетом, але наявність незахищеного порту створює умови для цільових кібератак.
«Технологічна спадщина минулих років та застарілі командні протоколи залишаються вразливою ланкою новітніх смартфонів», — наголошують автори дослідження.
Дослідники рекомендують виробникам апаратного забезпечення посилити захист інтерфейсу RUN AT або повністю вимикати його, якщо він не використовується. Усунення подібних застарілих механізмів стане важливим кроком для підвищення безпеки мобільних пристроїв.