SIM Card Malicioso: Como um Chip Pode Comprometer Dispositivos IoT e Seus Dados
O ecossistema de Internet das Coisas (IoT) celular acaba de revelar uma superfície de ataque que desafia premissas fundamentais de segurança. Pesquisadores da Universidade de Birmingham e da empresa Fuzzware demonstraram que um SIM card malicioso pode executar comandos arbitrários no modem de dispositivos como carregadores de veículos elétricos, roteadores industriais e unidades telemáticas automotivas. A descoberta, publicada no The Hacker News, expõe uma vulnerabilidade arquitetural em módulos celulares amplamente utilizados, com implicações diretas para a integridade de dados corporativos e a privacidade do usuário final.
O ataque explora o comando proativo RUN AT, um recurso padronizado que permite ao SIM enviar instruções ao modem. Em vez de aguardar passivamente a leitura, o cartão assume o controle: ordena a execução de comandos AT — a linguagem de controle de modems que remonta ao Hayes Smartmodem de 1981, mas que cada fabricante estende com suas próprias adições. O resultado é um console de propósito geral entregue a um atacante que conseguiu inserir um chip hostil no dispositivo.
O estudo testou 26 aparelhos — 18 smartphones e 8 módulos celulares — e constatou que 9 aceitaram o comando. Entre os módulos, 6 de 8 foram vulneráveis, incluindo cinco peças da Quectel retiradas de equipamentos reais: um carregador de VE, um roteador industrial e uma unidade telemática. Apenas três handsets cederam: OPPO Find X5, OPPO Reno 14 F 5G e ASUS Zenfone 9. Nenhum iPhone ou Pixel figurou na lista.
A gravidade se concentra no hardware machine-to-machine. Dispositivos IoT desassistidos, com bandeja SIM acessível e poucas interfaces expostas, são alvos ideais. O ataque exige acesso físico ao slot — troca manual, interposição de lâmina fina, comprometimento do operador ou sabotagem na linha de produção. Em cenários industriais ou de infraestrutura crítica, essa barreira é transponível.
Arquitetura do Ataque: O SIM como Console Remoto
O coração da vulnerabilidade está na arquitetura dos módulos celulares modernos. Quase todos os dispositivos examinados executam um pequeno processador de aplicação junto ao rádio — tipicamente Android sobre ARM Cortex-A7 — e repassam comandos AT não tratados para esse ambiente. O SIM termina dialogando com um sistema Linux embarcado, descrito no paper como “uma rica superfície de ataque para SIMs hostis”.
No carregador comercial Autel MAXI US AC W12-L-4G, o daemon atfwddaemon do módulo Quectel EC25AFXDGA repassa texto controlado pelo atacante para uma chamada de shell por meio de uma string de formato insegura. Uma lista de bloqueio de caracteres deveria impedir escapes de shell; uma nova linha (\n) a contornou. Em dois estágios, a equipe obteve execução de código, inteiramente comandada pelo SIM.
Em um OPPO Reno 14 F 5G, o comando AT+COPS=0,,,0 fixou o aparelho em 2G — downgrade irreversível pelo usuário, mesmo alternando modo avião, seleção manual de rede ou desabilitando o SIM. A rede 2G carece de autenticação mútua, abrindo caminho para estações base falsas. Outros dois comandos desligaram o handset e o modem. A ferramenta CATana, liberada pela equipe, identificou 198 comandos AT acessíveis via SIM naquele modelo.
Um terceiro estudo de caso leu arquivos arbitrários de um Quectel EG25-G explorando um daemon TFTP que roda como root e não verifica links simbólicos, exfiltrando dados via comandos SMTP do próprio módulo. Esse vetor exige que o link malicioso já esteja no sistema de arquivos — inserido por SD card ou partição adulterada — mas demonstra o potencial de escalada.
Indicadores de Comprometimento e Superfície de Risco
A ausência de um patch universal e a dependência de configurações de fornecedor tornam a detecção proativa essencial. A tabela abaixo sumariza os principais indicadores e vetores associados ao abuso do comando RUN AT.
| Indicador / Vetor | Descrição Técnica | Dispositivos Afetados |
|---|---|---|
| Comando RUN AT habilitado | SIM envia proactive command ao modem; interface exposta no firmware | Módulos Quectel EC25, EG25, RM52xN; handsets OPPO/ASUS selecionados |
| Downgrade forçado para 2G | AT+COPS=0,,,0 fixa rede sem autenticação mútua | OPPO Reno 14 F 5G, potencialmente outros |
| Execução de shell via atfwd_daemon | Formato de string inseguro; bypass de blocklist com nova linha | Autel MAXI US AC W12-L-4G (Quectel EC25AFXDGA) |
| Leitura arbitrária de arquivos (root) | Daemon TFTP sem verificação de symlink; exfiltração SMTP | Quectel EG25-G |
| CVE-2026-57550 / CVD-2026-0122 | Interface SIM AT exposta; rastreada pela Qualcomm e GSMA | Múltiplos módulos Quectel baseados em Qualcomm |
Além dos indicadores técnicos, a exploração bem-sucedida pode levar ao vazamento de dados armazenados no dispositivo ou trafegados pela rede celular. Credenciais, tokens de autenticação e informações de configuração tornam-se alvos imediatos. Em um contexto corporativo, a repetição de senhas entre serviços — prática que já discutimos em nossa análise sobre defesa unificada contra ransomware — amplifica o estrago: uma única credencial capturada do modem pode ser a chave para sistemas de backoffice, e-mails e painéis administrativos.
Vazamento de Senhas Reutilizadas: O Efeito Cascata
O comprometimento de um modem IoT não se limita ao dispositivo. Muitos desses equipamentos armazenam credenciais de rede, chaves de API e até senhas de acesso remoto. Quando um atacante extrai essas informações, o perigo se multiplica se a vítima reutiliza senhas em múltiplos serviços — hábito que afeta 65% dos usuários, segundo estudos do setor.
Imagine um roteador industrial comprometido: a senha do painel de administração, se repetida no e-mail corporativo ou no portal de monitoramento de ativos, entrega ao invasor um caminho direto para dados sensíveis. Essa progressão lateral é exatamente o que observamos em incidentes como o de hackers russos que acessaram e-mails mesmo após troca de senha, onde a persistência do ataque se beneficiou de falhas de arquitetura e reutilização de tokens.
Para mitigar esse risco, é imperativo:
- Isolar credenciais: cada dispositivo deve possuir senhas únicas, geradas e armazenadas em cofres digitais.
- Implementar autenticação multifator (MFA) em todas as camadas de acesso remoto.
- Monitorar ativamente a exposição de credenciais em vazamentos públicos — um serviço que a Kzarka oferece para identificar se seus dados já circulam em listas criminosas.
Resposta a Incidentes e Hardening de Dispositivos IoT
Diante da inexistência de um patch universal, a postura de segurança deve ser proativa. A Qualcomm afirmou ter desenvolvido uma configuração endurecida que desativa a interface RUN AT por padrão, mas sua adoção depende dos fabricantes de módulos e dispositivos. A Quectel mitigou a falha de acesso a arquivos (TFTP), porém continua trabalhando na interface principal; seu portal de avisos exige login, dificultando a disseminação de informações.
Para operadores de frotas IoT celulares, as ações imediatas incluem:
- Auditar firmware: questionar o fornecedor do módulo se o comando RUN AT está habilitado e se pode ser desabilitado.
- Segmentar redes: isolar dispositivos IoT em VLANs dedicadas, com políticas de firewall restritivas.
- Hardening físico: proteger bandejas SIM contra acesso não autorizado (selos, travas, sensores de violação).
- Monitoramento de tráfego: analisar padrões anômalos de comandos AT ou downgrades de rede (2G inesperado).
- Plano de resposta: incluir cenários de comprometimento de SIM nos playbooks de incidentes, com procedimentos de revogação de credenciais e reconfiguração remota.
A pesquisa também revela uma preocupação de cadeia de suprimentos: a Quectel não libera atualizações de firmware publicamente, e não há números sobre quantos dispositivos afetados estão em serviço. A falta de transparência dificulta a avaliação de risco em escala. Organizações que dependem de conectividade celular para equipamentos críticos devem exigir evidências de conformidade e testes de penetração específicos para o vetor SIM.
O Papel do Monitoramento de Identidade Digital
O ataque do SIM malicioso é um lembrete contundente de que superfícies de ataque obscuras podem levar a vazamentos de dados de alto impacto. Credenciais vazadas de dispositivos IoT frequentemente alimentam bases de dados criminosas, onde são correlacionadas com outras informações para fraudes e roubo de identidade. A Kzarka oferece uma plataforma de monitoramento contínuo que alerta sobre a exposição de seus dados pessoais e corporativos na dark web, permitindo uma resposta rápida antes que o dano se concretize.
A convergência entre segurança de hardware, práticas de senhas e vigilância de vazamentos nunca foi tão crítica. Enquanto a indústria corre para desabilitar o RUN AT por padrão, a responsabilidade imediata recai sobre os operadores: verificar, isolar e monitorar. Visite Kzarka para descobrir se suas informações já foram comprometidas e assuma o controle de sua identidade digital.
FAQ – Perguntas Frequentes
O que é o comando RUN AT e por que ele é perigoso?
RUN AT é um comando proativo do padrão SIM que permite ao cartão solicitar que o modem execute um comando AT. Isso entrega ao SIM um console de controle sobre o dispositivo, permitindo desde downgrade de rede até execução remota de código, dependendo da implementação do fabricante.
Quais dispositivos estão vulneráveis a esse ataque?
Módulos celulares Quectel das séries EC25, EG25 e RM52xN, além de smartphones OPPO Find X5, Reno 14 F 5G e ASUS Zenfone 9. Dispositivos IoT como carregadores de veículos elétricos, roteadores industriais e unidades telemáticas que utilizam esses módulos são particularmente expostos.
Como posso proteger meus dispositivos IoT contra SIMs maliciosos?
Solicite ao fornecedor do módulo a desabilitação do RUN AT, implemente autenticação multifator, isole os dispositivos em redes segmentadas e monitore ativamente a exposição de credenciais em vazamentos de dados.
Esse ataque já foi explorado em campo?
Até o momento, não há relatos de exploração ativa. No entanto, a divulgação pública dos detalhes técnicos aumenta a urgência de mitigação, especialmente em setores de infraestrutura crítica.
Como a Kzarka pode ajudar na proteção contra vazamentos de dados?
A Kzarka monitora continuamente a dark web e bancos de dados de vazamentos em busca de suas informações pessoais e corporativas, emitindo alertas em tempo real para que você possa agir antes que criminosos as utilizem.