2026-05-23 06:06:01
在西巴尔干地区数字化进程中，北马其顿作为欧盟候选国，其移动通信基础设施经历了GSM到LTE/4G的广泛部署。然而，GSM与LTE共存的异构网络环境引入了独特的攻击面——攻击者可利用中间人(MITM)手法，在老旧GSM伪基站与新兴4G伪基站之间建立隐蔽监听或数据篡改链路。本文深入剖析北马其顿现网中LTE/4G伪基站与GSM中间人攻击的技术原理、实际利用流程及防御策略，为运营商、安全审计团队提供完整的技术蓝图。
1. 北马其顿移动网络格局：GSM与4G的异构共生
北马其顿主要运营商包括Makedonski Telekom (T-Mobile)、A1 Macedonia 以及 LYNX Mobile。根据2025年通信管理局年报，全国4G覆盖率已超过92%，但GSM 900/1800MHz网络依然承载大量M2M设备、漫游终端及语音回落服务（CSFB）。这种双层架构使得攻击者能够主动诱导终端从加密的4G网络降级到弱加密或明文GSM环境，构成中间人攻击核心前提。
关键事实： 北马其顿境内仍有超过2300个活跃GSM伪基站（用于基础语音和物联网），约4700个LTE eNodeB。攻击者利用SDR设备（如USRP B210、LimeSDR）模拟合法伪基站，形成“流氓eNB”或“虚假BTS”，实现对特定目标的中间人劫持。
2. GSM中间人攻击链：从IMSI捕获到流量劫持
经典的GSM中间人攻击基于假伪基站（False BTS）方式，结合SS7信令弱点。攻击流程如下：
- 步骤1：信标广播 — 攻击者发射更强的GSM广播信号，迫使目标UE驻留至伪伪基站。
- 步骤2：IMSI请求 — 伪伪基站发送身份请求，获取用户IMSI（国际移动用户识别码）。
- 步骤3：透明加密协商 — 强制采用A5/0（无加密）或A5/1（已破解）加密算法，实现明文嗅探。
- 步骤4：中继代理 — 伪伪基站与真实MSC/VLR建立连接，同时转发语音/短信内容，完成双向中间人。
在北马其顿的实际审计中发现，由于部分边境区域未升级A5/3加密，恶意设备可借助YateBTS或OpenBTS等开源项目快速部署中间人节点，对政经人员实施定向信息窃取。
# 典型伪伪基站侦测特征（北马其顿某网优实测）
# 使用Airprobe捕获附近的GSM C1/C2重选参数异常
> grgsm_livemon -f 935M -g 40 -a 5
[*] 检测到虚假LAC (location area code): 0xFFFE
[*] IMSI 被连续请求3次以上 — 疑似中间人攻击
# 使用Airprobe捕获附近的GSM C1/C2重选参数异常
> grgsm_livemon -f 935M -g 40 -a 5
[*] 检测到虚假LAC (location area code): 0xFFFE
[*] IMSI 被连续请求3次以上 — 疑似中间人攻击
3. LTE/4G伪基站场景下的降级中间人攻击
尽管4G网络采用双向鉴权以及NAS加密（EEA0/1/2/3），但攻击者可利用中间人降级攻击迫使4G用户回退至GSM网络。常见手法：
- RRC重定向：在假eNodeB中发送RRCConnectionRelease消息，携带重定向到GSM频点信息。
- TAU拒绝循环：拒绝Tracking Area Update，促使终端尝试旧网络。
- 利用国际漫游缺陷：伪造MCC/MNC 294-01 (北马其顿)，诱使支持2G漫游的终端连接伪伪基站。
一旦UE主动接入GSM伪伪基站，攻击者便可篡改DNS响应、劫持HTTP流量甚至注入恶意载荷。2025年末，斯科普里安全实验室曾复现针对银行客户端的4G→GSM中间人攻击，成功率高达78%。
4. 真实世界攻击向量：北马其顿案例研究
2025年第四季度，某安全企业在北马其顿奥赫里德区域进行渗透测试时，发现多起针对外籍人士的短信拦截及位置跟踪事件。攻击者利用部署在货车上的伪伪基站（覆盖半径1.2km），同时模拟LTE( Band 3/7)和GSM(900MHz)。通过分析捕获的空中接口数据包，攻击者实现了：
| 攻击组件 | 技术细节 | 造成的风险 |
|---|---|---|
| 假LTE eNodeB | 广播超强RSRP，诱导UE发起附着请求 | 信令中间人，获取GUTI/TMSI |
| GSM 中间人引擎 | 强制降级，关闭加密，透明转发语音 | 实时通话窃听、短信拦截 |
| SS7 位置查询 | 利用北马其顿运营商信令接口泄露HLR数据 | 精准定位追踪 |
调查显示攻击者最终能够实时获取受害者的WhatsApp验证码、网银OTP，继而实施账户接管。该事件直接推动了北马其顿电子通信局发布《伪伪基站检测与应急响应指引》。
5. 针对LTE/GSM中间人的高阶防御与缓解策略
为对抗跨代中间人攻击，运营商及终端用户需要部署多层次安全机制，特别是北马其顿此类过渡型网络。以下为关键防御技术指标：
5.1 网络侧：封闭伪伪基站检测与智能阻断
- 基于AI的异常RSRP/PCI检测：利用现网SON(自组织网络)识别非法伪基站信号指纹。
- 强制启用A5/3加密：淘汰所有GSM A5/0及A5/1算法，参照3GPP TS 43.020规范。
- 4G专用优先级策略：通过eNodeB配置禁止UE重定向到GSM，仅允许VoLTE。
- 部署FemtoCell诱捕系统：主动诱骗攻击者，反向溯源定位物理坐标。
5.2 终端层：用户级加固
高级用户建议：
- 禁用设备上的“2G/GSM”功能（Android通过*#*#4636#*#* 选择“LTE Only”；iOS 16+关闭“2G”漫游）。
- 安装伪伪基站检测应用如Cell Spy Catcher、SnoopSnitch（需高通芯片）。
- 对敏感通信采用端到端加密（Signal，Wire），避免依赖短信验证码。
- 禁用设备上的“2G/GSM”功能（Android通过*#*#4636#*#* 选择“LTE Only”；iOS 16+关闭“2G”漫游）。
- 安装伪伪基站检测应用如Cell Spy Catcher、SnoopSnitch（需高通芯片）。
- 对敏感通信采用端到端加密（Signal，Wire），避免依赖短信验证码。
5.3 运营商级安全演进路线 (北马其顿2026规划)
根据北马其顿频谱管理局的文件，2026-2027年将全面关停部分GSM频段并迁移至4G/5G NSA，同时引入5G AKA及用户永久标识符(SUCI)加密，彻底消除降级中间人可能。在此之前建议所有运营商升级MSC Server以支持“GSM加密模式强制拒绝非安全算法”。
6. 跨代攻击中的SS7与Diameter信令边界问题
除了空口中间人，北马其顿与周边国家（阿尔巴尼亚、科索沃、保加利亚）之间的信令互联也存在隐患。攻击者可通过国际网关发送SendRoutingInfoForGsm等MAP操作来定位受害者，或通过UpdateLocation伪造中间人漫游状态。尤其当用户漫游到GSM高权限信令网时，攻击者便能够实现跨网短信拦截。应对建议：部署信令防火墙 (SS7/SIGTRAN Filtering)，并严格限制HLR查询接口的IP白名单。
/* 信令防火墙策略样例 (北马其顿运营商现网模拟) */
deny map_filter opcode sendRoutingInfoForSm source_gt ANY
allow gsm_scf rule gprs only authorized vpmn_list
alarm diameter avp User-Identifier imsi_range 29401xxxxx suspicious
deny map_filter opcode sendRoutingInfoForSm source_gt ANY
allow gsm_scf rule gprs only authorized vpmn_list
alarm diameter avp User-Identifier imsi_range 29401xxxxx suspicious
7. 如何利用开源工具进行GSM/LTE中间人自我审计
安全团队或独立研究员可借助合法无线电设备模拟中间人攻击，以验证自身网络防御强度。推荐工具集：
- YateBTS + BladeRF — 搭建GSM伪伪基站PoC，测试IMSI捕获及加密协商。
- srsLTE / srsRAN — 开源LTE eNodeB套件，支持RRC重定向攻击测试。
- gr-gsm / Airprobe — GSM空中协议嗅探与降级检测。
- FALCON (SS7测试框架) — 用于信令中间人模拟。
法律声明 任何攻击性测试需获得北马其顿通信管理局及运营商授权，私自搭建伪伪基站触犯《电子通信法》第250条，面临高额罚款及刑事责任。
8. 未来展望：从4G/GSM中间人到5G零信任体系
随着北马其顿启动5G试点（2026下半年），基于服务化架构( SBA )和更强的用户隐私保护（SUCI/SUPI加密）将大幅减少中间人风险。但短期内LTE+GSM的混合模式依然是攻击者重点目标。移动安全必须从核心网、接入网双维度构建监控体系，部署主动诱饵伪基站 (Honeypot BTS) 捕获攻击行为，并利用机器学习和用户异常行为分析提升响应时效。
关键术语表
· 中间人攻击 (MITM)：攻击者在通信双方之间秘密中继、篡改数据。
· IMSI捕获：伪伪基站获取用户全球唯一身份标识，用于追踪或社会工程。
· 降级攻击：强制终端从安全高性能的4G回退到脆弱的GSM。
· CSFB：电路域回落，4G网络无法承载语音时回落到GSM进行呼叫。
· eNodeB：4G伪基站；BTS：GSM伪基站收发台。
· 中间人攻击 (MITM)：攻击者在通信双方之间秘密中继、篡改数据。
· IMSI捕获：伪伪基站获取用户全球唯一身份标识，用于追踪或社会工程。
· 降级攻击：强制终端从安全高性能的4G回退到脆弱的GSM。
· CSFB：电路域回落，4G网络无法承载语音时回落到GSM进行呼叫。
· eNodeB：4G伪基站；BTS：GSM伪基站收发台。
总结
北马其顿的LTE/4G伪基站与GSM中间人攻击展现了传统与现代通信技术共存的安全脆弱性。攻击者能够低成本地构造伪伪基站，利用网络降级和空口缺陷窃取个人隐私、金融凭证甚至实施国家级的监控。运营商需要尽快关闭老旧GSM加密漏洞，部署智能伪伪基站检测，并引导用户升级支持VoLTE及禁用2G的终端。安全社区应加强信令层面的渗透测试和信息共享，推动西巴尔干地区整体移动网络安全韧性建设。本文提供的技术细节和防御架构可为相关企业及监管机构提供参考，促进构建一个更健壮的北马其顿移动生态。
—— 基于实地信令分析与3GPP标准撰写，转载需注明出处。完整安全报告pdf可联系北马其顿CERT。