來自11家OEM廠商的智能手機容易遭到隱藏AT指令攻擊

新聞 09-01

前言

國外的安全研究人員發現，來自11家智能手機OEM廠商的數百萬台移動設備容易遭到隱藏AT命令攻擊。

AT（ATtention）命令是20世紀80年代早期開發的短字元串（ShortString）命令集合，通過電話線和控制數據機傳輸。將不同的AT命令字元串合併在一起，可用於告知數據機進行撥號、掛斷或更改連接參數等功能。

普通用戶可能不知道，現代智能手機也集成了基本的數據機組件，允許智能手機通過其電話功能連接到互聯網。雖然國際電信機構已經推出了標準化的標準化的基本AT命令，所有智能手機必須支持這些指令。可出於實際需要，供應商還是為自己的設備添加了自定義AT命令集，可用於控制一些非常危險的手機功能，例如觸摸屏界面、設備攝像頭等。

針對數以千計Android固件的研究

來自佛羅里達大學、斯托尼布魯克大學和三星研究美國的11名科學家組成團隊，研究了現代Android設備目前支持哪些類型的AT指令以及影響。

該研究團隊分析了來自11個Android OEM的超過2000個Android固件映像，如華碩、谷歌、HTC、華為、聯想、LG、LineageOS、摩托羅拉、三星、索尼和中興。發現這些設備支持超過3500種不同類型的AT指令，其中一些可用於訪問非常危險的功能。

USB介面暴露AT指令

這些AT指令均通過手機USB介面暴露，這意味著攻擊者必須獲得用戶設備的訪問許可權或接入隱藏的USB底座、充電器或充電站內的惡意組件。

一旦攻擊者通過USB連接到目標手機，他就可以使用手機的一個隱藏AT指令重寫設備固件，繞過Android安全機制以獲得敏感的設備信息、解鎖屏幕等。有些AT指令僅能在手機處於USB調試模式時才可用，但研究人員也發現許攻擊者可以直接訪問的AT命令，即使手機已進入鎖定狀態。

在許多情況下，運行這些指令完全沒有日誌記錄。最大的風險是攻擊者可模擬觸摸屏點擊，使得攻擊者完全控制設備並安裝惡意應用程序以進行進一步的行動。

廠商已收到通知

該研究團隊已通知所有相關供應商，還在網站上發布了包含手機型號和固件版本的資料庫。

研究人員僅通過USB介面測試了對Android設備上AT命令集的訪問，還計劃測試Apple設備以及通過遠程訪問（如手機的Wi-Fi或藍牙連接）來運行AT命令。該團隊還發布了一個Shell腳本，在研究期間使用它來檢查Android固件並查找包含AT指令的字元串，可在GitHub上下載。

*參考來源：BLEEPINGCOMPUTER，Freddy編譯整理，轉載請註明來自 FreeBuf.COM。