SIM kartlar yalnızca mobil operatöre bağlanmayı sağlayan basit parçalar olarak görülse de aslında komut çalıştırabilen küçük bilgisayarlar gibi işlev görüyorlar. Yeni bir araştırma ise ele geçirilmiş veya kötü amaçlı SIM kartların telefonlardan elektrikli araç şarj cihazlarına kadar çok sayıda cihazı uzaktan kontrol edebileceğini ortaya koydu. Birmingham Üniversitesi ve Fuzzware'dan siber güvenlik araştırmacıları, SIM kartların göz ardı edilen güvenlik risklerini inceledi.
Araştırmacılar, geliştirdikleri CATana adlı analiz aracıyla 26 cihazı test etti. İncelenen cihazlar arasında 18 akıllı telefon ve elektrikli araç şarj istasyonları, bağlantılı otomobiller ve endüstriyel ekipmanlarda kullanılan 8 hücresel IoT modülü yer aldı. Farklı üreticilere ve işletim sistemlerine ait cihazların dahil edildiği çalışma, sorunun belirli bir marka veya platformla sınırlı olmadığını gösterdi.
Sorunun kaynağı eski bir SIM özelliği Araştırmacılara göre güvenlik açığının temelinde doğrudan bir yazılım hatası bulunmuyor. Sorun, hücresel iletişim standartlarında uzun süredir yer alan Proactive SIM özelliğinden kaynaklanıyor. Bu özellik, SIM kartın cihazın modemine doğrudan komut göndermesine imkan tanıyor.
Bu mekanizmanın önemli parçalarından biri ise 1980'li yıllarda çevirmeli modemleri kontrol etmek için geliştirilen AT komutları. Hücresel donanımları yönetmek için kullanılan bu komutlar, SIM kart tarafından gönderildiğinde modem tarafından işlenebiliyor. Kullanıcı hiçbir şey yapmadan cihaz ele geçirilebiliyor Testler, saldırganların kullanıcıdan herhangi bir etkileşim gerektirmeden cihazlar üzerinde kapsamlı kontrol sağlayabildiğini gösterdi.
Araştırmacılar SIM üzerinden gerçekleştirilen saldırılarla cihazlarda kod çalıştırabildi ve hassas donanım kimlik bilgilerini ele geçirebildi. Bunun yanında kilitli Android telefonların kötü amaçlı bağlantıları açmaya zorlanabildiği, mobil bağlantının güvenlik seviyesinin 4G'den daha savunmasız olan 2G'ye düşürülebildiği görüldü. Bazı durumlarda cihazların uzaktan bağlantısının kesilmesi veya tamamen kapatılması da mümkün oldu.
Elektrikli araç şarj cihazları da hedef olabilir Tehdit sadece akıllı telefonlarla sınırlı değil. Araştırmacılar özellikle internete bağlı endüstriyel cihazlar, elektrikli araç şarj istasyonları ve bağlantılı araç sistemlerinin oluşturduğu riske dikkat çekiyor. Bu sistemler genellikle USB bağlantıları ve uzaktan yazılım erişimi gibi dışarıdan gelebilecek saldırı noktalarını mümkün olduğunca kısıtlayacak şekilde tasarlanıyor.
Ancak hücresel bağlantı için kullanılan SIM yuvası, güvenlik modelinde gözden kaçabilecek bir giriş noktası oluşturuyor. Üstelik saldırganın SIM kartı fiziksel olarak değiştirmesi de her zaman gerekmiyor. Kötü amaçlı SIM yazılım güncellemeleri, uzaktan yönetim platformlarını kötüye kullanan sahte veya kötü niyetli operatörler ve üretim aşamasındaki tedarik zinciri müdahaleleri üzerinden zararlı SIM kartların cihazlara ulaşması mümkün olabiliyor.
Üreticiler güncelleme yayınlamaya başladı Araştırmacılar bulgularını kamuoyuna açıklamadan önce etkilenen çip üreticileri, cihaz üreticileri ve GSMA ile paylaştı. Bunun ardından bazı üreticiler kötü amaçlı AT komutlarını engellemek amacıyla yazılım güncellemeleri ve daha sıkı güvenlik yapılandırmaları üzerinde çalışmaya başladı.
