CATana trasforma SIM ostili in un’interfaccia AT contro smartphone e IoT

🛡️ Executive Summary

• CATana analizza 26 dispositivi e trova l’interfaccia SIM AT esposta in 9 casi, soprattutto nei modem IoT.
• I ricercatori dimostrano code execution, lettura arbitraria di file, denial of service e downgrade forzato delle connessioni cellulari a 2G.
• La difesa più efficace proposta è deprecare RUN AT e rimuovere i relativi code path da modem e software host.

Una SIM malevola o compromessa può trasformarsi in un’interfaccia di controllo verso il modem e, in alcuni casi, verso il sistema operativo del dispositivo. È il risultato centrale di CATana, ricerca presentata alla 20ª USENIX WOOT Conference on Offensive Technologies da Tomasz Piotr Lisowski e Marius Muench dell’University of Birmingham insieme a Kristian Covic di Fuzzware. Il lavoro analizza il comando proattivo RUN AT, attraverso il quale una SIM può chiedere al Mobile Equipment di eseguire comandi AT, e mostra che una funzione nata per la gestione dei dispositivi cellulari può ancora aprire superfici offensive molto ampie. Su 26 dispositivi analizzati, tra 18 smartphone e 8 modem IoT, nove espongono questa interfaccia, con quattro attacchi pratici che arrivano dalla semplice indisponibilità della rete fino alla code execution.

RUN AT permette alla SIM di parlare direttamente con il modem

Il punto di partenza della ricerca è una funzione poco visibile agli utenti ma storicamente importante nell’ecosistema cellulare. Le SIM non sono supporti passivi, bensì piccoli ambienti di calcolo capaci di inviare comandi proattivi al dispositivo ospite. Tra questi compare RUN AT, che permette alla SIM di richiedere l’esecuzione di un comando AT sul Mobile Equipment, creando di fatto un canale SIM-to-modem. I comandi AT vengono utilizzati da decenni per configurare modem, selezionare reti, gestire chiamate e interagire con funzioni specifiche del vendor. La ricerca CATana pubblicata da USENIX mostra che la superficie non è scomparsa con l’evoluzione verso 4G e 5G: molti smartphone moderni la limitano, ma numerosi modem destinati a IoT, automotive, router industriali e sistemi embedded continuano a esporla. Il problema si inserisce direttamente nella più ampia superficie baseband già affrontata con il passaggio di Google a Rust nel modem dei Pixel 10, dove la sicurezza del software radio viene trattata come uno dei confini più delicati dello smartphone moderno.

Nove dispositivi su 26 accettano comandi AT dalla SIM

CATana è stato utilizzato su 18 smartphone appartenenti a dieci produttori e otto modem o moduli cellulari IoT. I ricercatori hanno trovato supporto alla SIM AT interface in due smartphone e sette modem IoT, confermando una differenza netta tra le due categorie. Nei telefoni moderni l’interfaccia è ormai l’eccezione, mentre nei moduli embedded viene ancora mantenuta perché storicamente utile per gestione remota e configurazioni out-of-band. Tra i dispositivi IoT analizzati compaiono moduli Quectel, Sierra Wireless, Nordic e SIMCom, inseriti anche in prodotti reali come charger per veicoli elettrici, router industriali e unità telematiche automotive.

La ricerca sottolinea quindi un problema di ereditarietà tecnologica: una funzione progettata quando modem e dispositivi disponevano di risorse limitate continua a vivere in sistemi che oggi gestiscono connessioni critiche, gateway industriali e apparati fisicamente difficili da raggiungere per manutenzione e patching.

Un charger AUTEL porta dalla SIM fino alla code execution

Il caso più grave riguarda un AUTEL Maxi US AC W12-L-4G, caricatore per veicoli elettrici equipaggiato con un modem Quectel EC25-AFX. Il modulo contiene un application processor ARM Cortex-A7 con firmware Linux e un modem Qualcomm MDM9607. Analizzando il demone atfwd_daemon, i ricercatori hanno scoperto che alcuni handler AT costruivano comandi shell usando system() e incorporavano direttamente parametri controllabili dall’input. Un filtraggio dei caratteri avrebbe dovuto impedire escape tradizionali, ma CATana ha individuato un bypass attraverso newline injection. La catena sviluppata dai ricercatori usa quindi due fasi: la prima crea un wrapper eseguibile capace di superare il filtro, la seconda lo richiama tramite un comando RUN AT, ottenendo code execution end-to-end a partire dalla SIM. Il valore dell’attacco non risiede soltanto nel singolo charger: mostra che un’interfaccia apparentemente confinata al modem può attraversare il confine verso il processore applicativo e raggiungere il sistema operativo Linux del dispositivo.

OPPO Reno 14 F può essere spento o forzato sul 2G

La seconda dimostrazione riguarda uno OPPO Reno 14 F 5G basato su piattaforma Qualcomm. Analizzando il firmware modem, CATana ha individuato 198 comandi AT e varianti effettivamente accettati dall’interfaccia esposta alla SIM. Tre sono stati utilizzati per dimostrare attacchi concreti: AT$QCPWRDN spegne temporaneamente il telefono fino al riavvio, AT+CFUN=0 disattiva il modem cellulare e AT+COPS=0,,,0 forza la connessione esclusivamente su reti di seconda generazione. Il downgrade a 2G è particolarmente rilevante perché non viene annullato attraverso le normali azioni dell’utente: modalità aereo, selezione manuale della rete, disattivazione della SIM, toggling dei dati mobili o modifica delle preferenze di rete non ripristinano immediatamente le generazioni successive. La conseguenza va oltre il disservizio. Il 2G non offre la mutual authentication introdotta nelle generazioni più moderne, rendendo più semplice l’utilizzo di fake base station e tecniche d’intercettazione. La ricerca dimostra quindi che una SIM ostile può non soltanto sabotare la connettività, ma anche degradare deliberatamente il livello di sicurezza radio del dispositivo.

I modem Quectel permettono di uscire dallo spazio file previsto

Il terzo caso riguarda la gestione del filesystem nei modem Quectel, dove diversi comandi AT permettono di lavorare con User File Storage, Security File System, RAM o schede SD. L’implementazione analizzata demanda però parte delle operazioni a un application processor Android attraverso TFTP. Su firmware meno recenti, CATana ha individuato un path traversal diretto capace di uscire dalla directory prevista.

Le versioni nuove correggono quella condizione, ma i ricercatori hanno trovato un secondo problema: il demone TFTP non verifica se il file richiesto sia un file ordinario oppure un symbolic link. Preparando preventivamente un link simbolico nella partizione UFS, è quindi possibile fare in modo che il modem acceda a un file collocato fuori dallo spazio previsto. Sul Quectel EG25-G, i ricercatori hanno concatenato questa condizione con i comandi proprietari AT+QSMTP, stabilendo prima una connessione Internet legittima e inviando successivamente il file della vittima come allegato verso un server controllato dall’attaccante. La SIM diventa così il punto di partenza per una arbitrary file exfiltration dal dispositivo.

Il file read può diventare anche un percorso verso root

La ricerca mostra inoltre che l’accesso tramite symbolic link non rappresenta necessariamente il limite massimo dell’attacco. Il demone TFTP coinvolto nelle operazioni gira con privilegi root, mentre alcune piattaforme Quectel permettono di raggiungere fastboot e manipolare partizioni dati. In presenza delle condizioni necessarie, un attaccante può quindi tentare di scrivere in percorsi Linux sensibili, compresi file collegati ai meccanismi uevent_helper o hotplug, trasformando un problema di accesso ai file in un possibile percorso verso esecuzione privilegiata. Gli autori restano prudenti e distinguono chiaramente le primitive dimostrate dalle possibilità architetturali ulteriori, ma il risultato evidenzia un problema più generale: il modem embedded non è un sottosistema completamente separato. Attraverso bridge software, filesystem condivisi e demoni privilegiati, un input originato dalla SIM può propagarsi fino a componenti che operano molto più in alto nello stack.

Una SIM può persino aprire un sito senza interazione dell’utente

Durante l’analisi dei comandi proattivi, il team ha individuato anche una variante di una superficie già nota: il comando LAUNCH BROWSER. Su versioni recenti di Android una SIM ostile può costringere il dispositivo ad aprire un sito controllato dall’attaccante senza interazione dell’utente e persino con lockscreen attiva. Google ha riconosciuto il problema come CVE-2025-48618 e distribuito una correzione. Il paper utilizza questo caso per mostrare che RUN AT è soltanto una parte di una superficie più ampia composta dai comandi proattivi SIM. Storicamente queste funzioni sono state costruite assumendo che la SIM fosse un elemento affidabile, mentre attacchi come SIMJacker e le successive ricerche hanno dimostrato che una SIM compromessa, modificata o fisicamente sostituita deve essere trattata come input non attendibile. È un principio ancora più importante con la diffusione delle eSIM e dei relativi rischi di provisioning e gestione dei profili.

CATana automatizza la scoperta della superficie AT

Il contributo della ricerca non si limita agli exploit. CATana è un toolkit composto da più strumenti progettati per analizzare il comportamento del modem verso i comandi provenienti dalla SIM. Il framework può interagire con SIM programmabili e interposer, raccogliere le risposte AT, identificare automaticamente i comandi supportati e filtrare quelli non riconosciuti. Il progetto è stato inoltre pubblicato come artifact di ricerca su Zenodo, permettendo alla comunità di riprodurre l’analisi su altri dispositivi e modem. L’obiettivo degli autori non è fornire uno strumento weaponized pronto all’uso: il paper sottolinea esplicitamente di aver seguito coordinated disclosure e di non pubblicare applet non interattive progettate per compromettere automaticamente i dispositivi. CATana serve invece a rendere sistematica una superficie che fino a oggi veniva analizzata soprattutto attraverso reverse engineering manuale e conoscenza specifica dei vendor.

La mitigazione più forte è eliminare RUN AT

La raccomandazione principale del paper è netta: deprecare il supporto alla SIM AT interface e ai comandi proattivi che introducono rischi superiori ai benefici operativi. Gli autori ritengono insufficiente limitarsi a una blacklist sul communication processor, perché il relativo codice potrebbe riemergere attraverso regressioni o altri percorsi. Una mitigazione completa dovrebbe rimuovere i code path interessati sia dal firmware del modem sia dallo stack software dell’application processor. Per i sistemi nei quali la funzione non può essere immediatamente eliminata, vengono suggerite difese basate su analisi dei modem log, estensioni di sistemi come RILDefender e BaseTrace, build Android più rigide e interposer hardware capaci di bloccare RUN AT prima che raggiunga il modem. L’approccio riflette la stessa logica che ha spinto Google a ridurre preventivamente la superficie memory-unsafe del baseband Pixel attraverso Rust: sul livello radio, correggere il singolo bug è utile, ma rimuovere l’interfaccia pericolosa elimina un’intera famiglia di possibilità offensive.

L’IoT conserva un debito di sicurezza che gli smartphone hanno già iniziato a ridurre

CATana mostra infine una differenza strutturale tra smartphone e sistemi embedded. Nei telefoni recenti la SIM AT interface è ormai rara, segno che anni di hardening del baseband e delle interfacce diagnostiche hanno progressivamente ridotto l’accesso ai comandi più pericolosi. Nei modem IoT, invece, sette dispositivi su otto analizzati continuano a supportarla. È proprio questo il punto più importante per automotive, charger EV, router, telematica e industria: componenti cellulari progettati per essere integrati dentro prodotti con cicli di vita lunghi possono mantenere funzionalità legacy che nessun utente finale vede, ma che restano raggiungibili da un elemento installato fisicamente nel dispositivo. La SIM, normalmente considerata parte dell’infrastruttura di autenticazione dell’operatore, diventa così un nuovo confine di fiducia da difendere. Il contributo di CATana non è soltanto dimostrare quattro exploit: è mostrare che nel 2026 una funzione nata nell’era dei modem AT continua a collegare SIM, baseband e sistemi embedded moderni con privilegi che molti prodotti non hanno ancora imparato a considerare ostili.