Eine maliziöse SIM-Karte ist mehr als ein Komfortrisiko: Laut Forschern kann sie ein angeschlossenes Gerät anweisen, Befehle auszuführen, die der Angreifer auswählt. Gerade bei zellularen IoT-Geräten reicht diese Fähigkeit aus, um nicht nur einzelne Funktionen zu stören, sondern im schlimmsten Fall ganze Systeme zu übernehmen – etwa bei Modulen, die in Ladegeräten, Industrie-Routern oder Telematik-Einheiten verbaut sind.
Was die Lage besonders herausfordernd macht: Der Angriff startet nicht erst durch eine Sicherheitslücke im Gerät. Er setzt voraus, dass eine hostile SIM bereits im Slot steckt – sei es durch physischen Tausch, eine eingeschleuste Interposer-Karte oder durch Manipulationen entlang des Liefer- und Produktionsprozesses.
Wie eine SIM zum Befehlsgeber wird
Im Zentrum der Untersuchung steht ein Proaktiv-Mechanismus, den SIM-Karten an ein Modem senden können. Dabei muss das Gerät nicht auf eingehende Daten warten, sondern die Karte kann aktiv Kommandos anstoßen. Das betrifft eine Schnittstelle, über die das Modem einen AT-Befehl ausführt – also eine Kommandosprache, die in der Vergangenheit durch das Hayes Smartmodem bekannt wurde und die heute von Herstellern erweitert wird.
Der entscheidende Punkt: Wer diese Funktion unterstützt, bietet dem Karteninhaber im Effekt eine allgemeine Konsole. Das ist nicht bloß eine spezielle Einfallstür für einen einzelnen Bug, sondern eine dokumentierte und breit genutzte Fähigkeit, die je nach Umsetzung zur Angriffsfläche wird.
Welche Geräte betroffen waren – und welche nicht
Die Forscher der University of Birmingham und der Sicherheitsfirma Fuzzware testeten insgesamt 26 Mobiltelefone und zellulare Module. In 9 Fällen war die relevante Funktion aktiviert, und diese Geräte konnten mit eigenen Codeversuchen angesteuert werden.
Interessant ist die Verteilung: Von 8 getesteten zellularen Modulen akzeptierten 6 den entsprechenden Kommando-Mechanismus. Bei den 18 getesteten Telefonen waren es lediglich 3. Dazu gehörten:
- OPPO Find X5
- OPPO Reno 14 F 5G
- ASUS Zenfone 9
Unter den getesteten Geräten fanden die Forscher keine Treffer bei iPhones oder Pixel-Modellen. Bei mehreren Qualcomm-basierten Handsets trat das Verhalten nicht auf, was die Studie auf Herstelleranpassungen zurückführt.
Warum zellulares IoT besonders kritisch ist
Der größte Unterschied zu typischen Smartphone-Szenarien liegt oft in der Architektur. Viele der untersuchten Module betreiben neben dem Funkteil einen kleinen Anwendungsprozessor. Häufig wird dafür ein Linux- oder Linux-ähnliches System genutzt, das AT-Kommandos weiterverarbeiten kann.
In der Studie wird genau dieser Aufbau als „reiches Angriffsgebiet“ für hostile SIMs beschrieben. Denn sobald die SIM AT-Kommandos anstoßen kann, werden die nachgelagerten Komponenten relevant: Da AT-Befehle weitergereicht werden, entstehen Wege, über die Text oder Parameter aus dem Mobilfunkpfad in andere Programmlogik gelangen.
Gibt es „den“ Patch? Eher nicht.
Die Forschenden betonen, dass es keinen einzigen Fix gibt, der alle Geräte automatisch sicher macht. Das liegt an zwei Ebenen:
- Es existieren Bug-bedingte Schwachstellen, die grundsätzlich gepatcht werden können.
- Gleichzeitig hängt die Angreifbarkeit davon ab, ob die RUN-AT-ähnliche Funktion überhaupt aktiviert ist – und das entscheiden Anbieter individuell.
In den neun bestätigten Fällen, in denen das Kommando akzeptiert wurde, berichten die Forscher, dass ein Qualcomm-Kommunikationsprozessor läuft. Weitere untersuchte Qualcomm-basierte Handsets akzeptierten die Funktion offenbar nicht, was auf Unterschiede in der Konfiguration schließen lässt.
Was Qualcomm und Quectel dazu sagen
Qualcomm habe laut den Forschern eine härtere Konfiguration vorbereitet, die die Schnittstelle standardmäßig abschaltet. Quectel wiederum habe nach eigenen Angaben eine File-Access-Schwachstelle bereits mitigiert und arbeite weiterhin an der Schnittstellenebene selbst.
Wichtig: Beide Seiten veröffentlichten in der Phase der Recherche noch keine klaren öffentlichen Ad-hoc-Infos, und das von Quectel genutzte Vulnerability-Portal ist offenbar login-abhängig. Dadurch ist für Außenstehende schwer nachvollziehbar, welche konkreten Softwarestände betroffen sind.
Konkrete Angriffsszenarien aus der Untersuchung
1) Codeausführung in einem EV-Ladegerät
Ein Fallbeispiel stammt von einem kommerziellen Autel-Ladegerät (Modellcode im Bericht: MAXI US AC W12-L-4G). Im Inneren identifizierten die Forschenden ein Quectel-Modul (EC25AFXDGA).
Sie beschreiben einen Prozess, in dem ein Daemon (atfwd_daemon) Text, der letztlich vom Angreifer kontrolliert wird, unsicher in eine Shell-Call-Logik einspeist – über einen Format-String-Fehler. Eine Blockliste sollte problematische Zeichen abfangen, doch ein Zeilenumbruch konnte diese Barriere umgehen. In zwei Stufen gelang es danach, Codeausführung zu erreichen, gesteuert allein durch Kommandos, die die SIM sendet.
Autel selbst wurde offenbar nicht zu den Empfängern der Benachrichtigungen gezählt; das fehlerhafte Verhalten betraf laut Einordnung die Modul-Ebene. Die Forscher berichten, dass sie Quectel informiert haben, welches anschließend eigene Kunden benachrichtigte.
2) OPPO: Angriff führt zu Zwang auf 2G
Auf dem OPPO Reno 14 F 5G, das zu den drei akzeptierenden Telefonen gehörte, zeigte sich ein besonders gravierendes Effekt-Pattern: Ein spezifischer Befehl (AT+COPS=0,,,0) legte das Telefon auf 2G fest.
Der Nutzer konnte diese Änderung laut Bericht nicht rückgängig machen – weder durch Aktivieren/Deaktivieren des Flugmodus, noch durch manuelle Netzumschaltung, Mobilfunkdatendienste oder über Einstellungslayer rund um die bevorzugte Generation. Auch das Deaktivieren der SIM oder Mobilfunk-Optionen sollte nicht helfen. Die Studie ordnet das damit ein, dass ein Downgrade auf 2G ohne gegenseitige Absicherung erfolgt, wodurch ein Angreifer die Voraussetzungen für eine Fake-Base-Station erleichtern kann.
Zwei weitere Kommandos führten zusätzlich zu einem Herunterfahren des Handsets bzw. zum Abschalten des Modems. Mit den im Projekt entwickelten Tools (genannt CATana) konnten die Forschenden eine ganze Reihe erreichbarer AT-Kommandos identifizieren.
3) Dateien auslesen per TFTP und Versand via AT+QSMTP
Ein drittes Beispiel beschreibt, wie sich auf einem Quectel-Modul (EG25-G) über einen TFTP-Daemon beliebige Dateien abrufen lassen. Dieser Dienst laufe als root und prüfe nicht zuverlässig, ob ein Pfad einen symbolischen Link enthält. Um das auszunutzen, müsse jedoch eine gezielt präparierte Dateiablage bereits vor dem Angriff existieren – etwa via SD-Karte oder durch Flashen einer manipulierten Partition.
Danach nutzten die Forschenden AT+QSMTP-Kommandos, um die so ausgelesenen Informationen abzusenden. Auch hier zeigt sich: Die SIM ist der Startpunkt, aber die Angriffsfolge hängt stark vom Zusammenspiel der Komponenten ab.
Ein zusätzlicher Kontext: frühe Android-Schwachstelle
Während der Arbeiten an diesem Themenkomplex zeigten die Forschenden außerdem, dass eine hostile SIM ein gesperrtes Android-Gerät dazu bringen kann, eine vom Angreifer kontrollierte Webseite zu öffnen – ohne dass der Nutzer aktiv eingreifen muss. Als betroffene Pixel-Modelle nennen die Forscher unter anderem Pixel 6, 8 und 9.
Google habe dafür bereits einen Patch bereitgestellt; diese separate Lücke wurde im Android-Bulletin als CVE-2025-48618 im Dezember 2025 beschrieben.
Warum das in der Praxis schwer zu messen ist
Die Umfrage umfasst nur die untersuchten 26 Geräte. Dennoch zeigen sich die Forschenden überzeugt, dass eine größere Produktfamilie betroffen sein könnte: Sie halten es für wahrscheinlich, dass viele Quectel-Module in den Serien EC25, EG25 und RM52xN betroffen sind, und schätzen, dass auch weitere Quectel-Module mit Qualcomm-Modem-Komponenten ähnlich reagieren könnten.
Da Quectel Firmware-Updates nicht öffentlich in allen Details bereitstellt, sei es schwierig, das Risiko flächendeckend zu verifizieren. Entsprechend nennt niemand im Bericht eine belastbare Zahl, wie viele Geräte in Betrieb sind.
Empfehlungen für Betreiber zellularer IoT-Flotten
Wenn Sie Geräte mit SIM-gestützter Kommunikation betreiben, lautet die praktische Leitfrage zunächst: Ist die AT-simulierte Schnittstelle bei den verbauten Modulen aktiviert? Da keine einheitliche Patch-Strategie existiert, sollten Betreiber nach Informationen des Modulherstellers fragen.
Die Studie nennt als konkreten Einstieg:
- Beim Modul- oder Hardware-Lieferanten erfragen, ob RUN AT (bzw. die vergleichbare Interface-Funktion) in der ausgelieferten Firmware aktiviert ist
- prüfen lassen, ob diese Funktion deaktiviert werden kann
- Updates anfragen, falls betroffene Firmware-Pfade angepasst wurden
Darüber hinaus berichten die Forschenden, dass aktuell keine Ausnutzungen dieser spezifischen Schnittstelle gemeldet wurden. Das reduziert nicht die Relevanz, macht aber klar, dass es sich derzeit primär um ein Entdeckungs- und Härtungsthema handelt.
Status der Meldungen
Die Berichte gingen laut den Forschenden im März 2026 an mehrere Parteien – darunter Google, Oppo, Quectel, Semtech und Qualcomm. Im Mai 2026 wurde zusätzlich die GSMA informiert.
Die Schnittstelle bzw. die exponierte SIM-AT-Funktion wird als CVE-2026-57550 (über Qualcomm) und als CVD-2026-0122 durch die GSMA verfolgt. Der öffentliche CVE-Eintrag soll in der Phase der Recherche noch nicht in der veröffentlichten Liste erschienen sein.
Fazit
Die Untersuchung macht deutlich, dass eine maliziöse SIM-Karte in bestimmten Konfigurationen mehr kann als nur Verbindung stören: Über eine proaktive AT-Befehlsschnittstelle kann sie Modems zu Kommandos veranlassen und so – abhängig von Firmware, Architektur und Implementierungsdetails – bis hin zu weitreichenden Effekten führen.
Da es keinen „einen“ universellen Patch gibt, sollten Betreiber zellularer IoT-Geräte vor allem klären, ob die relevante Schnittstelle in den gelieferten Modulen aktiv ist und ob sie deaktiviert werden kann. Gleichzeitig setzen die Hersteller laut Bericht zunehmend auf Härtung und Standardkonfigurationen, die die Angriffsfläche reduzieren.
Quelle: https://thehackernews.com/2026/08/a-malicious-sim-card-can-run-attacker.html
