Devilray, da KAIST, deteta pontos cegos em todos os sete sistemas de deteção de falsas torres celulares testados

2 592 formas de testar as defesas de um telemóvel

Uma equipa de investigação do KAIST reproduziu 2 592 formas de funcionamento de uma falsa estação móvel e testou-as face a sete sistemas de deteção existentes. Todos os detetores falharam pelo menos 192 configurações, expondo lacunas nas ferramentas destinadas a identificar equipamento usado para vigilância, localização e phishing.

O KAIST anunciou o trabalho a 4 de novembro de 2026. Liderada por Yongdae Kim, professor da Escola de Engenharia Elétrica da instituição, a equipa construiu uma plataforma de testes chamada Devilray, analisando um dispositivo comercial de vigilância, investigação anterior e normas internacionais de comunicações móveis. Testou cada configuração em telemóveis reais para confirmar que os procedimentos de comunicação funcionavam.

O número mínimo de configurações não detetadas corresponde a cerca de 7,4% das 2 592 testadas. A principal conclusão vai além desse valor: os detetores concebidos em torno de sinais de alerta conhecidos podem não identificar atacantes que obtêm o mesmo resultado através de uma sequência diferente de mensagens ou de um sinal de rádio menos evidente.

As falsas estações base, também chamadas IMSI catchers, simuladores de estações celulares ou StingRays, fazem-se passar por torres móveis legítimas e levam os telemóveis próximos a ligarem-se a elas. Os governos usam-nas para vigilância. Criminosos também as transportaram em veículos pelas ruas das cidades para enviar mensagens que se fazem passar por comunicações de bancos ou empresas de entregas.

Para os utilizadores de telemóveis, as consequências podem incluir a exposição de identificadores de assinante, localização, interrupção do serviço ou mensagens fraudulentas enviadas fora dos canais habituais das operadoras. Para as operadoras e os investigadores, o Devilray permite testar uma gama mais ampla de comportamentos suspeitos sem ter de obter todos os dispendiosos dispositivos comerciais de acesso restrito.

Porque é que os testes habituais deixam lacunas

Há cerca de 20 anos que os investigadores desenvolvem formas de detetar falsas estações base. No entanto, o equipamento comercial de vigilância é dispendioso e a sua compra e utilização estão sujeitas a restrições. Muitas vezes, as equipas universitárias tiveram de construir as suas próprias torres de imitação, observar o seu comportamento e conceber detetores com base nessas observações.

Um detetor avaliado com equipamento construído segundo os mesmos pressupostos pode ter bons resultados e, ainda assim, não detetar outras abordagens. Um atacante pode alterar a ordem das mensagens, escolher outra frequência ou reduzir a potência de transmissão, continuando a recolher a informação pretendida.

Kim, o professor de engenharia elétrica do KAIST que liderou o estudo, descreveu o problema:

A deteção tem sido concebida em torno dos ataques que já conhecemos. Os atacantes reais não se ficam por aí. Até agora, o campo de jogo tem sido inclinado a favor deles.

O Devilray altera o ponto de partida de uma avaliação. Em vez de perguntar se um detetor reconhece uma imitação específica de uma torre, mapeia um conjunto de opções disponíveis para um atacante e testa se o detetor identifica essas variações.

A colaboração incluiu o Instituto Nacional de Investigação em Segurança da Coreia do Sul, a Universidade Kyung Hee, a Universidade da Florida e a empresa de redes móveis Cape. Os investigadores descrevem o trabalho como o primeiro estudo académico a analisar uma falsa estação base comercial vendida a forças policiais e serviços de informações.

Como o LTE abre espaço à personificação

O LTE, tecnologia habitualmente associada ao serviço móvel 4G, permite que um telemóvel reaja a algumas mensagens da rede antes de verificar a identidade desta. Durante o processo inicial de ligação, uma torre de imitação pode explorar essa lacuna para influenciar o que o telemóvel faz a seguir.

Uma falsa torre pode pedir um identificador permanente de assinante, informação que permite associar uma subscrição móvel a uma pessoa. O detetor Rayhunter da Electronic Frontier Foundation vigia este tipo de pedidos. Outro procedimento pode usar uma mensagem de rejeição para levar o telemóvel a voltar a ligar-se e a revelar o seu identificador sem que este seja pedido diretamente.

Um detetor que procure apenas o pedido direto pode, por isso, não identificar outra forma de obter a mesma informação. A vulnerabilidade decorre de procedimentos permitidos pela norma LTE, pelo que o problema é mais amplo do que um erro num modelo de telemóvel ou no software de um fabricante.

O LTE também continua a ser relevante para quem usa telemóveis 5G. Muitas redes 5G ainda dependem do LTE, e os telemóveis podem mudar para LTE quando não há cobertura 5G ou quando um atacante provoca essa mudança. Comprar um telemóvel compatível com 5G não elimina a exposição ao processo de ligação LTE.

Construir um leque realista de ataques

O dispositivo comercial analisado pela equipa podia copiar a identidade de uma torre legítima, mudar de frequência e operar duas redes em simultâneo. Também podia reduzir a potência de transmissão para cobrir apenas alguns metros, uma capacidade importante ao testar detetores que esperam que as torres suspeitas emitam sinais invulgarmente fortes.

Os investigadores combinaram essas observações com estudos anteriores e especificações da 3GPP, a parceria que desenvolve normas internacionais de comunicações móveis. Dividiram uma operação em quatro fases: analisar a rede circundante, ativar uma célula falsa, atrair ligações de telemóveis e executar o ataque.

Ao longo dessas fases, a equipa identificou sete dimensões que um atacante poderia variar. Combinar simplesmente todas as opções também geraria combinações impossíveis nas comunicações reais, pelo que os investigadores aplicaram 21 regras de dependência para eliminar combinações incompatíveis.

O conjunto resultante continha 2 592 configurações. Cada uma foi testada com telemóveis reais, dando à avaliação uma verificação prática, além de assentar nas normas e no equipamento comercial. O número descreve o leque de testes construído pela equipa; o estudo não quantifica a frequência com que essas configurações ocorrem em ataques reais.

Para quem trabalha na defesa, um teste reproduzível é importante porque um detetor pode voltar a ser avaliado após uma alteração de software. Um programador pode verificar se uma atualização identifica um comportamento anteriormente não detetado e se cria problemas noutros pontos, recorrendo ao mesmo conjunto de condições operacionais.

Pequenas alterações podem contornar os sinais de alerta

Os sete sistemas avaliados usavam vários tipos de indícios, incluindo mensagens de sinalização, informação difundida pelas estações base, sinais de rádio, padrões estatísticos e aprendizagem automática. Todos tinham pontos cegos, frequentemente relacionados com os indícios específicos escolhidos pelos seus criadores.

Os detetores de mensagens podiam não identificar um procedimento que recolhesse um identificador através de uma troca diferente. Os detetores que procuravam sinais de potência excessiva podiam não detetar o dispositivo comercial quando este operava com baixa potência. Um atacante nas proximidades, a cobrir uma área pequena, pode ter poucos motivos para emitir sinais para um bairro inteiro.

Um detetor estatístico enfrentou outro problema. Monitorizava a frequência com que era pedido aos telemóveis que revelassem os seus identificadores, mas um atacante podia recolhê-los lentamente e abordar apenas alguns dos telemóveis próximos. O padrão resultante podia parecer atividade normal num terminal rodoviário, em vez de um pico evidente de pedidos de vigilância.

Estes exemplos explicam porque é que detetar torres falsas é mais complexo do que manter uma lista de mensagens suspeitas. Os atacantes podem ajustar o tempo, a potência e os procedimentos de comunicação, mantendo-se próximos de comportamentos que também ocorrem em redes legítimas.

Uma deteção melhor trouxe mais falsos alarmes

A equipa também investigou se a aprendizagem automática poderia colmatar as lacunas. Voltou a treinar os detetores com ataques que estes não tinham identificado e, em seguida, mediu tanto a deteção bem-sucedida como os falsos alarmes no tráfego normal das operadoras.

Num modelo que analisava mensagens de Controlo de Recursos de Rádio, ou RRC, a deteção aumentou de 51% para 96%. As mensagens RRC ajudam a gerir a ligação rádio entre o telemóvel e a rede. A taxa de falsos alarmes também subiu, de 1,4% para 5,3%, quase quatro vezes mais do que antes.

Num modelo que analisava mensagens da Camada de Não Acesso, ou NAS, a deteção aumentou de 27% para 63%. A sinalização NAS gere aspetos como o registo e a mobilidade entre um telemóvel e o núcleo da rede móvel. A taxa de falsos alarmes subiu de 4,7% para 8,8%. No caso mais difícil analisado, a taxa de falsos alarmes do modelo NAS atingiu 15%.

Em termos mais simples, uma taxa de falsos alarmes de 5,3% significa cerca de 53 avisos por cada 1 000 exemplos legítimos avaliados nas condições do teste, contra cerca de 14 com uma taxa de 1,4%. Isso gera mais atividade normal para uma pessoa ou sistema investigar.

O detetor RRC ganhou 45 pontos percentuais na deteção, enquanto o detetor NAS ganhou 36. Ambas as melhorias implicaram mais falsos avisos. Por isso, os investigadores defendem que as avaliações devem apresentar em conjunto as taxas de deteção e de falsos alarmes, para que os utilizadores possam avaliar se uma maior cobertura dos ataques é viável na operação quotidiana.

A experiência da Coreia do Sul torna a investigação urgente

A Coreia do Sul já sofreu prejuízos financeiros associados a equipamento celular ilegal. Uma investigação governamental a um incidente envolvendo a KT, que se tornou público em agosto de 2025, contabilizou 368 vítimas e perdas de cerca de 200 milhões de won em pequenos pagamentos não autorizados.

O incidente envolveu femtocélulas ilegais. Uma femtocélula é uma pequena estação base normalmente usada para melhorar a cobertura ou aliviar o tráfego numa rede móvel. Neste caso, os atacantes usaram equipamento contrafeito para intercetar informação dos utilizadores e permitir cobranças não autorizadas.

Kim falou sobre testes de redes móveis na .HACK Conference 2026, a 8 de abril. O trabalho do seu laboratório incluiu um detetor de sinais LTE, um dispositivo que capta mensagens de rádio trocadas entre telemóveis e estações base. Os investigadores descobriram que a informação enviada sem encriptação podia ajudar a localizar fisicamente um dispositivo.

Os metadados, como identificadores e detalhes da ligação, descrevem as comunicações, e não as palavras de uma mensagem ou conversa. Mesmo quando o conteúdo das mensagens está encriptado, a informação exposta sobre a ligação pode continuar a revelar dados úteis sobre um dispositivo e os seus movimentos.

O laboratório também realizou experiências com falsos alertas de emergência e usou o Devilray para reproduzir ataques de SMS blaster e ataques SigOver, que desligam os dispositivos do serviço de Internet. Estas demonstrações ilustram a variedade de resultados que os investigadores procuram testar, desde mensagens enganosas até à interrupção da ligação de um telemóvel.

As redes 5G privadas também estão sob escrutínio

A apresentação de Kim em abril alargou a preocupação às redes 5G privadas, construídas para organizações específicas ou instalações industriais. Entre os seus utilizadores estão instalações de defesa, complexos industriais e instituições médicas, o que torna especialmente importante proteger a informação sobre dispositivos e localização.

Kim alertou para o facto de as vulnerabilidades no software dos equipamentos se poderem combinar com fragilidades nos procedimentos de comunicação móvel, criando vias para interceção ou instalação de software malicioso. As suas preocupações também abrangeram os componentes de banda base, o hardware e o software que gerem as comunicações celulares por rádio de um dispositivo.

O laboratório estava a desenvolver uma versão 5G do seu detetor de sinais, descrita na apresentação de abril como estando cerca de 90% concluída. Kim também alertou que a exposição de metadados pode permitir a um observador inferir a presença e a localização de dispositivos no interior de uma instalação.

A avaliação de detetores do Devilray centrou-se no LTE. O trabalho paralelo sobre 5G reflete o esforço do laboratório para analisar redes mais recentes, sem perder de vista uma tecnologia que continua a transportar tráfego móvel e a suportar muitas implementações 5G.

Acesso controlado e próxima apresentação pública

A equipa de investigação restringe o acesso ao Devilray a investigadores e organizações devidamente avaliados, através de acesso controlado, uma vez que a sua capacidade de reproduzir comportamentos de ataque pode ser usada indevidamente. Entre os utilizadores previstos estão operadoras, investigadores e programadores que precisam de testar defesas face a uma gama mais ampla de comportamentos de equipamento.

A equipa partilhou com a Electronic Frontier Foundation os casos de ataque que o Rayhunter não detetou. A organização está a trabalhar em formas de os identificar. A GSMA, associação mundial de operadores móveis, também convidou os investigadores a apresentar o Devilray ao seu Grupo de Fraude e Segurança, onde representantes do setor e das entidades responsáveis pelas normas debateram abordagens de deteção.

A investigação foi publicada no arXiv e aceite para a ACSAC 2026, estando a apresentação marcada para Los Angeles durante a conferência, de 7 a 11 de dezembro. Os principais marcos públicos distribuem-se por vários meses:

• 8 de abril de 2026: Kim apresentou o quadro de testes de redes móveis do laboratório na .HACK Conference 2026.
• 4 de novembro de 2026: O KAIST anunciou o Devilray e a avaliação de sete sistemas de deteção.
• 7 a 11 de dezembro de 2026: Está prevista a apresentação do trabalho na ACSAC 2026, em Los Angeles.

O grupo de Kim está também a desenvolver um detetor que combina observações de telemóveis, redes de operadoras e detetores de sinais de rádio independentes para identificar e localizar falsas estações base. O trabalho reúne informação de vários pontos de observação, em vez de depender de um único sinal de alerta.

Kim descreveu assim o objetivo da plataforma de testes:

O Devilray não pretende derrotar os detetores existentes. Dá aos defensores as mesmas opções de que os atacantes já dispõem, para que o ataque e a defesa possam finalmente avançar em conjunto.

Pontos principais

• O Devilray reproduz 2 592 configurações de falsas estações base, cada uma testada com telemóveis reais.
• Todos os sete detetores avaliados falharam pelo menos 192 configurações, cerca de 7,4% do conjunto de testes.
• Os atacantes podem variar as mensagens, a potência do sinal e os padrões de recolha para evitar sinais de alerta conhecidos.
• O novo treino de dois modelos de aprendizagem automática melhorou a deteção, mas também aumentou os falsos alarmes no tráfego legítimo.
• O acesso ao Devilray está limitado a utilizadores devidamente avaliados, e a apresentação da investigação está prevista para dezembro, na ACSAC 2026.