Une carte SIM peut-elle propager des logiciels malveillants?
Est-il possible qu'un logiciel malveillant infecte une carte SIM? Que se passe-t-il lorsque j'insère la carte SIM dans un autre téléphone?
Théoriquement: oui.
En pratique: le cas d'utilisation est trop petit pour en valoir la peine.
Faisons un examen très théorique sur la façon dont cela pourrait être possible:
En théorie, chaque ordinateur communiquant avec d'autres appareils est vulnérable. Cela est simplement dû au fait que l'interprétation des signaux communiqués laisse toujours place à l'erreur. Si une telle erreur est exploitable, un virus peut infecter une carte SIM.
Supposons que la carte SIM a été infectée; le virus en a pris le contrôle total. Lorsque la carte SIM est insérée dans un autre téléphone, le même principe s'applique: tout simplement parce que le téléphone communique avec la carte SIM, le téléphone expose ses vulnérabilités. Ainsi, la carte SIM pourrait réinfecter d'autres téléphones.
Retour dans le monde réel:
Un virus capable d'infecter une grande variété de téléphones de loin dépasse l'espace de stockage de toute carte SIM jamais fabriquée avec de bonnes intentions . Les fabricants de cartes SIM ne (à ma connaissance) ne publient pas de documentation sur les composants internes de leurs cartes SIM. Je suis très sûr qu'il existe des bogues exploitables dans le logiciel de la carte SIM. Cependant, les trouver est presque imho impossible (en raison de la dissimulation de la documentation).
Je pense que la réponse que tout le monde donne jusqu'à présent est un "oui qualifié", la qualification étant que si nous parlons strictement de virus, ce n'est pas un vecteur d'attaque extrêmement efficace.
La réponse à "êtes-vous susceptible de propager un virus tiers en utilisant une carte SIM sur plusieurs téléphones?" serait "Non, ce n'est pas particulièrement probable" même s'il y a une mince possibilité technique. Ce n'est tout simplement pas un moyen efficace de transporter un virus - la plupart des gens mettent une carte SIM dans leur téléphone et elle y reste jusqu'à ce qu'ils remplacent le téléphone, lorsqu'ils obtiennent une nouvelle carte SIM.
Si nous parlons plus largement de logiciels malveillants, cependant, la nature de la question passe des pensées des script kiddies et des adwares aux acteurs étatiques, à la guerre asymétrique non étatique, à l'espionnage industriel, etc.
Dans ce cas, la réponse est un "absolument" sans réserve.
Il y a même un document Defcon qui aborde le sujet: La vie secrète des cartes SIM (bien qu'il soit un peu daté et traite d'un sous-ensemble spécifique de cartes SIM)
En bref, cependant, les cartes SIM ne sont pas seulement de petites cartes mémoire. Ce sont de très petits ordinateurs autonomes. Ils peuvent eux-mêmes exécuter des logiciels malveillants. Bien que vous puissiez avoir des données stockées et chiffrées sur le téléphone lui-même auxquelles la carte SIM ne pourra jamais accéder, il n'en va pas nécessairement de même des données que vous transférez, des numéros que vous appelez, du contenu de votre SMS et MMS messages ou même le contenu des appels téléphoniques eux-mêmes.
Cet article particulier - touristes étrangers arrivant en Inde avec des visas électroniques pour obtenir des cartes SIM gratuites - a été ce qui m'a amené à fouiller sur Stack Exchange Security et ailleurs ce matin, pour voir s'il y avait eu des travaux récents dans cette zone. Je n'ai encore rien trouvé de public, sauf des travaux plus anciens que je connaissais déjà.
Alors que ce que fait l'Inde est sacrément pratique pour les voyageurs, cela sent la collecte de renseignements. Quelques problèmes clés:
- Ces cartes SIM sont remises aux visiteurs qu'ils peuvent identifier à l'avance.
- Ils fournissent ce service par le biais d'une société de télécommunications d'État (BSNL)
Il existe de nombreuses possibilités pour ces cartes SIM particulières d'être chargées avec des logiciels malveillants personnalisés ou même d'être fabriquées pour s'adapter à des charges utiles plus importantes que d'habitude. Il n'a pas à le faire via une infection, il peut le faire à la source.
Ils sont donc 100% vulnérables à ce niveau - et c'est là que toute l'authentification de votre appareil a lieu, où vos clés privées sont stockées pour des transactions réseau sécurisées, etc. L'agence de renseignement pakistanaise ISI est notoirement soupçonnée d'avoir largement piraté les bases de données BSNL en installant les logiciels espions sur leurs réseaux internes - juste pour indiquer le potentiel d'abus et la gamme d'endroits d'où pourrait provenir une intrusion.
Un malware dans l'UICC doit être un petit fichier.
Cependant, comme mentionné par atdre, le malware peut agir comme un stager. Dans tous les UICC (je ne suis pas sûr des anciens), la carte peut demander au téléphone d'ouvrir une URL dans un navigateur (et d'exécuter d'autres commandes appelées commandes proactives).
Pour votre question - si vous changez la carte sur un autre téléphone, elle peut être infectée automatiquement au démarrage. Cela dépend du code et des actions exécutés.