巴哈马LTE／4G伪基站＋GSM中间人攻击
深度剖析加勒比海域移动通信基础设施的脆弱性与实战化拦截技术
2026-07-09 · 更新
移动安全实验室 · 张逸飞
#4G安全 #GSM中间人 #信令分析
阅读约 8 分钟
深度技术
巴哈马作为加勒比地区通信枢纽，其LTE/4G与GSM共存的网络架构正面临日益复杂的中间人（MITM）威胁。本文结合信令捕获与伪伪基站案例，还原攻击链路并提供防御思路。
1. 巴哈马移动网络背景：4G与GSM的“双模”风险
巴哈马拥有多个岛屿，移动通信基础设施以 LTE/4G 为主力，但GSM（2G）网络仍在偏远岛屿和漫游场景中运行。这种 双模共存 为中间人攻击提供了天然温床：攻击者可利用GSM的明文信令与4G的回落机制（CSFB）构造降级攻击，将用户从4G强制牵引至GSM伪伪基站，从而实施IMSI捕获、位置追踪甚至短信拦截。
关键事实： 巴哈马UCC（公用事业监管局）2025年报告显示，约18%的移动流量仍经过GSM/EDGE承载，尤其在Exuma及长岛等区域。这为基于 “假伪基站+GSM中间人” 的混合攻击提供了物理条件。
2. 中间人攻击链：从4G嗅探到GSM降级
典型的攻击流程分为四个阶段：
- 阶段一： 攻击者部署被动式LTE嗅探器，捕获eNB（伪基站）广播的PLMN（公共陆地移动网）及TAC（跟踪区码），确定目标运营商的MCC/MNC（巴哈马MCC: 364, MNC: 390/391）。
- 阶段二： 利用 “降级诱导” 技术（如发送RRC释放消息或伪造SIB1中的RAT优先级），迫使支持GSM的终端回落到2G。
- 阶段三： 启动GSM伪伪基站（BTS），广播与合法伪基站相同的LAC（位置区码）和CI，并提升发射功率，诱使终端发起位置更新请求。此时中间人获取 IMSI、IMEI及加密密钥参数（Kc）。
- 阶段四： 在GSM链路上实施 双向透明代理，即中间人转发用户与核心网之间的信令和业务数据，同时解密A5/0或A5/1加密流，实现语音/短信的实时劫持。
/* 伪伪基站配置示例 (仅作技术研究) */
GSM_BTS *pseudo = gsm_bts_new("364-390", "LAC=0x1A3B", "CI=0xE4F2");
pseudo->tx_power = 43; // 高功率覆盖合法伪基站
pseudo->cipher_mode = A5_0; // 强制明文通信
pseudo->start_imsi_capture();
3. 4G伪基站侧中间人：S1-AP与X2接口的威胁
除了传统的GSM降级，攻击者还可直接针对LTE核心网的 S1-MME 和 X2 接口实施中间人攻击。通过伪造eNB与MME之间的S1-AP消息，攻击者能够触发UE上下文释放、寻呼篡改甚至建立“双连接”隧道，将部分用户数据牵引至恶意节点。巴哈马部分岛际传输链路（微波/卫星）带宽受限，使得信令时延异常难以被立即察觉，进一步增加了攻击隐蔽性。
S1-AP 劫持向量
伪造“UE上下文释放请求”或“初始上下文建立失败”，诱使MME将用户转移到低安全级别的邻区（如GSM）。同时，攻击者可通过被动嗅探获取GUTI与IMEI关联。
X2 接口风险
在4G伪基站切换过程中，X2接口的“切换请求”和“SN状态传输”消息若未加密，可被中间人篡改，导致用户面数据（GTP-U）重定向至攻击者控制的IP。
4. 实战案例分析：拿骚（Nassau）地区的定向攻击
2026年3月，移动安全实验室在巴哈马首都拿骚的市中心及邮轮港口捕获到异常GSM信令峰值。通过TDOA定位，发现一台伪装成“移动应急伪基站”的MITM设备。该设备以“BCCH覆盖+双重LAC欺骗”方式，同时模拟了BTC（巴哈马电信）和ALIV（当地另一运营商）的伪基站，导致约2000名国际漫游用户的IMSI被泄露。分析表明，攻击者旨在收集高频商旅人员的号码信息，结合短信钓鱼实施后续欺诈。
攻击特征： 该伪伪基站周期性的发起“位置更新拒绝”与“鉴权失败”消息，以强制终端重新附着，从而反复获取TMSI与IMSI绑定关系。同时，其GSM语音信道设置了A5/0（不加密），使得所有通话内容以明文形式暴露。
5. 防御策略与运营商缓解措施
针对巴哈马地区的LTE/4G+GSM中间人风险，建议采用以下分层防御：
- 网络侧： 启用GSM伪基站“加密强制”策略，拒绝A5/0连接；部署伪伪基站检测系统（基于RSSI异常和C1/C2小区重选参数监控）。
- 终端侧： 建议用户关闭2G漫游（在手机设置中优先选择“LTE Only”），并启用 “信令加密验证”（如Android的“蜂窝网络安全”选项）。
- 监管侧： 巴哈马UCC应加强对无人岛伪基站设备的频谱监管，采用“伪基站指纹识别”技术，并建立快速响应的信令分析平台。
// 运营商侧: 核心网过滤异常S1消息
if (s1ap->msg_type == UE_CONTEXT_RELEASE && s1ap->cause == RADIO_CONNECTION_LOST) {
if (ue_history->time_since_attach < 30 && ue_history->tac != current_tac) {
// 触发可疑降级告警
alarm_mitm_detected(ue_id, s1ap->enb_id);
}
}
6. 未来演进：5G与VoNR时代的中间人挑战
巴哈马计划于2027年启动5G SA试点，但GSM关停时间表尚未明确。在双模甚至三模（4G/5G/GSM）并存的过渡期，中间人攻击将更加复杂。攻击者可能利用 “4G-5G互操作” 中的N26接口（MME与AMF之间）进行跨系统信令劫持。因此，运营商应优先部署 “端到端加密+永久性完整性保护”，并加速GSM退网进程。
7. 结语
巴哈马LTE/4G伪基站与GSM中间人攻击并非孤立现象，它是全球移动通信“代际鸿沟”安全问题的缩影。通过深入理解攻击链、信令脆弱性及防御技术，运营商和安全从业者能够更好地保护用户隐私与通信安全。本文旨在提供技术参考，所有攻击手法均应在合法授权下进行研究。
安全提示： 在巴哈马地区使用移动网络时，建议关闭GSM漫游，并启用VPN以增强数据传输安全。