Una SIM ostile ha eseguito codice in una colonnina di ricarica per auto

I ricercatori dell’Universit� di Birmingham e della societ� di sicurezza Fuzzware hanno provato 26 fra telefoni e moduli cellulari alla ricerca di una capacit� poco discussa: quella di una SIM di ordinare al dispositivo che la ospita l’esecuzione di un comando. In nove dei ventisei la capacit� era attiva. Su una colonnina di ricarica per veicoli elettrici disponibile in commercio � bastata per far girare codice scelto dagli autori del test, in un lavoro presentato questa settimana a USENIX WOOT, a Baltimora.

Il comando si chiama RUN AT e appartiene ai comandi proattivi, l’insieme standardizzato di istruzioni che una SIM pu� spingere verso il terminale invece di limitarsi a farsi leggere. Chiede al modem di eseguire un comando AT, il linguaggio di controllo dei modem che risale allo Hayes Smartmodem del 1981 e che ogni produttore estende con aggiunte proprie. Supportarlo significa consegnare alla carta una console di uso generale.

Marius Muench, docente di informatica all’Universit� di Birmingham, ha osservato nell’annuncio dell’ateneo che la capacit� proattiva della SIM e la superficie d’attacco che apre sono “esplicitamente definite nelle specifiche tecniche per la comunicazione cellulare”. � il motivo per cui inquadra il risultato come conforme allo standard e non come una sua violazione. La precisazione � fondamentale nel momento in cui si pensa ad un rimedio: i singoli difetti sono normali errori di programmazione e si correggono, mentre l’interfaccia che li espone � una funzione documentata, e spegnerla � una decisione a carico del produttore.

Fra i moduli cellulari il comando � stato accettato da sei unit� su otto; fra i telefoni solo da tre su diciotto, e sono OPPO Find X5, OPPO Reno 14 F 5G e ASUS Zenfone 9. Nel campione non figura nessun iPhone e nessun Pixel. Cinque dei sei moduli erano componenti Quectel, tre dei quali estratti da una colonnina di ricarica, da un router industriale e dalla centralina telematica di un’automobile.

Tutti e nove i dispositivi che hanno accettato il comando montano un processore di comunicazione Qualcomm. Altri cinque telefoni basati su Qualcomm presenti nel campione lo hanno invece rifiutato, e il paper attribuisce la differenza alle personalizzazioni dei singoli produttori. Non esiste quindi una correzione unica che chiuda la questione a monte.

Conoscere il numero della vittima non serve a nulla: ogni attacco parte da una scheda ostile gi� inserita nello slot. Pu� essere sostituita a mano, infilata come sottile interposto sopra quella legittima, spinta da un operatore compromesso, oppure alterata via software o in linea di produzione. Gli apparati IoT lasciati incustoditi, con un alloggiamento SIM accessibile e poche altre interfacce esposte, sono esattamente il caso in cui uno scambio del genere vale la fatica.

L’application processor che sta dietro al modem

Quasi tutti i moduli esaminati affiancano alla radio un piccolo processore applicativo, di norma Android su ARM Cortex-A7, e gli inoltrano ogni comando AT che la radio non gestisce da s�. La carta finisce cos� a dialogare con un piccolo calcolatore Linux, che il paper descrive come “una ricca superficie d’attacco per SIM ostili”. � la ragione per cui il lato machine-to-machine risulta pi� esposto di quello dei telefoni.

La colonnina usata nel primo caso di studio � un’unit� commerciale Autel identificata nel paper con il codice di modello MAXI US AC W12-L-4G. Al suo interno il modulo Quectel EC25AFXDGA esegue il demone atfwd_daemon, che fa passare testo controllato dall’attaccante dentro una chiamata di shell attraverso una format string non protetta. Un elenco di caratteri vietati avrebbe dovuto impedire le evasioni, ma un semplice ritorno a capo lo ha superato: due passaggi pi� tardi il gruppo aveva l’esecuzione di codice, guidata interamente da comandi emessi dalla SIM. Autel non compare fra le aziende avvisate, perch� il codice difettoso appartiene al modulo; la segnalazione � andata a Quectel, che ha poi informato i propri clienti.

Un terzo caso di studio riguarda un Quectel EG25-G e la lettura di file arbitrari attraverso un demone TFTP che gira con i privilegi di root e non verifica se un percorso sia un collegamento simbolico. I file venivano poi spediti all’esterno usando i comandi AT+QSMTP del modulo stesso. Qui la scheda ostile da sola non basta: il collegamento malevolo deve gi� trovarsi sul filesystem del modulo, arrivato tramite una scheda SD o con la scrittura di una partizione confezionata su misura.

Il telefono che non torna dal 2G

Sull’OPPO Reno 14 F 5G, uno dei tre telefoni che accettano RUN AT, il comando AT+COPS=0,,,0 ha inchiodato l’apparecchio al 2G. Il proprietario non ha modo di annullarlo. Anche la modalit� aereo, la selezione manuale della rete, lo “smanettamento” sui dati mobili, la disattivazione della SIM non hanno alcun esito. Il 2G non prevede autenticazione reciproca, quindi un declassamento che la vittima non pu� invertire consegna a un attaccante le condizioni per una stazione radio base fittizia.

Altri due comandi hanno spento il telefono e disattivato il modem. Lo strumento sviluppato dal gruppo e pubblicato con il nome CATana ha individuato 198 comandi AT raggiungibili attraverso la SIM su quello stesso apparecchio. Lo stesso filone di ricerca aveva gi� mostrato che una scheda ostile poteva far aprire a un telefono Android bloccato una pagina web scelta dall’attaccante senza alcuna interazione, su Pixel 6, 8 e 9 fra gli altri; Google ha corretto quel difetto separato come CVE-2025-48618 nel bollettino Android di dicembre 2025.

Segnalazioni a cinque aziende, advisory a zero

I rapporti sono partiti a marzo 2026 verso Google, Oppo, Quectel, Semtech e Qualcomm, e a maggio verso la GSMA. Secondo Muench l’interfaccia AT esposta alla SIM � tracciata come CVE-2026-57550, assegnato tramite Qualcomm, e come CVD-2026-0122 dalla GSMA, anche se il record del CVE non risulta ancora nell’elenco pubblicato dal CVE Program. Oppo e Google hanno considerato le scoperte informative ma fuori dal perimetro dei rispettivi programmi di ricompensa. Semtech le ha confermate e prevede di distribuire correzioni scritte da Qualcomm, mentre Quectel, pur confermando a sua volta, ha dichiarato che l’iniezione di comandi era gi� nota e risolta in firmware pi� recenti, senza indicare quali versioni siano affette e quali corrette.

Qualcomm ha riferito ai ricercatori di aver predisposto una configurazione irrobustita che disattiva l’interfaccia in modo predefinito; Quectel dice di aver mitigato il difetto di accesso ai file e di lavorare ancora sull’interfaccia. Al 10 agosto nessuna delle cinque aziende aveva pubblicato un avviso di sicurezza sulla ricerca, e il portale delle vulnerabilit� di Quectel resta accessibile solo dopo un accesso autenticato. Lo stesso demone ha un precedente: un’iniezione di comandi raggiungibile via AT da un diverso punto d’ingresso era stata pubblicata nel 2021 come CVE-2021-31698.

Muench si dice ragionevolmente sicuro che siano interessati tutti i moduli delle serie Quectel EC25, EG25 e RM52xN, e ritiene probabile che lo siano anche altri moduli Quectel costruiti su modem Qualcomm, componenti che finiscono in automobili, colonnine di ricarica, terminali di pagamento e altri apparati connessi. Quectel non distribuisce pubblicamente gli aggiornamenti firmware, il che rende difficile verificare l’esposizione su larga scala. Nessuno ha quantificato quante unit� siano in servizio.

La posizione dei ricercatori � che l’interfaccia vada irrobustita, dichiarata obsoleta o disattivata del tutto. La configurazione irrobustita sar� predefinita sui dispositivi futuri e le correzioni raggiungeranno anche i moduli interessati sotto forma di aggiornamento, per quanto il gruppo non abbia verificato se i percorsi di codice di RUN AT vengano rimossi o soltanto spenti. Per chi gestisce flotte di apparati cellulari il passo disponibile oggi � chiedere al fornitore del modulo se RUN AT sia abilitato nel firmware consegnato e se possa essere disattivato. Nessun attacco che sfrutti l’interfaccia risulta finora segnalato.