CATana 工具包揭露惡意 SIM 卡如何劫持智慧手機、電動車充電樁與 IoT 裝置

攻擊面：源自 SIM 卡的 AT 指令

問題的核心在於 Proactive SIM 功能。這項由來已久的蜂巢式規格，允許 SIM 卡直接向裝置的數據機發送指令。其中一個名為 RUN AT 的指令，讓 SIM 卡可以對移動設備（Mobile Equipment, ME）發出 AT 指令——這是一套自 1980 年代起就被用來控制數據機的指令集，且完全在用戶不知情的情況下進行 。

雖然這項功能最初是為了合法用途而設計，例如電信業者的加值服務，但研究人員發現，現實世界中幾乎已沒有仍活躍的應用案例。然而，他們測試的絕大多數裝置，依然預設會接受這些指令 。

受影響的裝置：從智慧手機到電動車充電樁

團隊總共測試了 26 款具代表性的裝置，包括 18 款智慧手機與 8 個具備蜂巢式連網能力的 IoT 模組，結果發現這些裝置普遍存在漏洞，橫跨多家製造商與作業系統 。受影響的 IoT 模組被廣泛應用於：

• 電動車（EV）充電樁
• 工業設備
• 聯網汽車與車輛

研究報告指出，儘管幾乎已無合法的應用場景，但來自多家製造商、運行不同作業系統的裝置，都仍支援由 SIM 卡發起的 AT 指令 。

示範攻擊：一張惡意 SIM 卡能做些什麼？

研究團隊利用 CATana 工具包，成功展示了一張惡意（或被入侵的）SIM 卡，能透過 SIM AT 介面發動以下攻擊 ：

• 重新啟用裝置上已被關閉的除錯介面
• 竊取敏感資訊，例如裝置獨有的 IMEI 碼
• 未經用戶同意即發送簡訊或撥打電話
• 取得目標通訊處理器（基頻）的任意指令執行權限
• 強制將連網從安全的 4G（LTE）降級到較舊且不安全的 2G
• 直接關閉目標裝置
• 完全停用裝置的蜂巢式通訊功能
• 在較新的 Android 裝置上，強制手機開啟攻擊者控制的網頁，即便手機處於鎖定狀態，也無需任何用戶操作

其他發現還包括了隱私洩漏、基頻記憶體損毀以及鎖定畫面繞過等問題 。

攻擊者如何取得惡意 SIM 卡？

研究報告中明確指出了四種可能取得惡意 SIM 卡的情境，且每種都有真實世界的案例可循 ：

1. 遠端攻擊者：利用 SIM 卡軟體（applet）中的漏洞，透過空中介面（Over-the-Air）安裝惡意程式碼。
2. 物理攻擊者：直接更換受害者的 SIM 卡，或是在 SIM 卡與手機之間安裝一個極薄的硬體「攔截層」（SIM interposer）。這是一種市面上即可取得的零件，常被用來解鎖電信業者鎖定，僅需幾秒鐘即可植入 。
3. 遭入侵的電信業者：濫用遠端 SIM 管理功能，包含 eSIM 的開通流程。
4. 供應鏈攻擊者：在 SIM 卡的製造或配銷過程中進行篡改，使其在送達終端用戶之前就已淪為攻擊工具。

業界回應與修復

在研究成果公開之前，研究團隊已透過 GSM 協會（GSMA） 以及相關晶片與裝置製造商進行了協調式揭露（coordinated disclosure）。業界的反應相當正面：這些報告受到認真看待，主要製造商也已為客戶提供軟體更新並推出更安全的設定配置 。

由 CATana 研究發現的漏洞，已被列入以下追蹤編號：

• CVE-2025-48618
• CVE-2026-57550
• CVD-2026-0122

值得注意的是，CVE-2026-0122 在 Google 2026 年 3 月的 Pixel 更新公告中，被列為一項**「嚴重」（Critical）等級的基頻漏洞**，可能導致遠端程式碼執行 。

伯明罕大學的 Marius Muench 博士指出，最終的緩解措施「將造福全球數十億個具備 SIM 卡的未來裝置，包括智慧手機、聯網車輛、支付終端、路由器、關鍵基礎設施以及電動車充電系統」。

宏觀視野：這是一整類風險，而非單一漏洞

CATana 研究建立在此團隊先前的成果之上，包括 SIMURAI 平台。該平台已證明，SIM 卡攻擊並非單一孤立漏洞，而是可以從三個攻擊面向來理解的一整類風險：物理存取、惡意 SIM 卡，以及基頻韌體漏洞 。

CATana 工具包本身是開源軟體，其設計目的在於幫助安全研究人員與裝置製造商，能夠系統性地檢測這類源自 SIM 卡的 AT 指令漏洞，從而降低未來安全研究的進入門檻 。