Devilray von KAIST: 2.592 Szenarien gefälschter Mobilfunkmasten im Test

Forscher des Korea Advanced Institute of Science and Technology (KAIST) um Professor Kim Yong-dae haben die Testplattform Devilray vorgestellt. Das System ist in der Lage, 2.592 verschiedene Betriebskonfigurationen gefälschter Mobilfunk-Basisstationen zu simulieren, um bestehende Schutzmechanismen auf den Prüfstand zu stellen.

Entwickelt wurde die Plattform in Kooperation mit dem National Security Research Institute aus Südkorea, der Kyung Hee University, der University of Florida sowie dem Unternehmen Cape.

Systematische Analyse realer Angriffsmuster

Die technische Grundlage von Devilray bildet die erstmalige akademische Untersuchung eines kommerziell erhältlichen Geräts für gefälschte Basisstationen in Kombination mit den Vorgaben des 3GPP-Standards. Aus dieser Analyse leiteten die Forscher vier Angriffsphasen, sieben variable Kernelemente sowie 21 Abhängigkeitsregeln ab, aus denen sich die 2.592 Verhaltenskonfigurationen ergeben.

Sämtliche Konfigurationen wurden im Rahmen der Untersuchungen mit echten Smartphones verifiziert. Die Zahl von 2.592 beschreibt dabei die Bandbreite der simulierbaren und reproduzierbaren Verhaltensweisen und nicht die Summe tatsächlicher Einzelangriffe. Kim erklärte dazu, dass der LTE-Mobilfunkstandard grundlegend fehlerhaft sei.

Wer sich mit der Sicherheit mobiler Funkverbindungen und der Gefahr durch gefälschte Basisstationen befasst, sollte auch die grundlegende Absicherung seines Geräts nicht vernachlässigen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone effektiv vor Hackern und Viren schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Erhebliche Lücken bei aktuellen Abwehrsystemen

Im Rahmen der Tests untersuchte das Team sieben etablierte Erkennungssysteme, die auf unterschiedlichen Ansätzen wie der Nachrichtenanalyse, der Auswertung von Basisstationsinformationen, Funksignalen, statistischen Methoden sowie maschinellem Lernen basieren. Jedes dieser sieben Systeme verfehlte mindestens 192 der 2.592 getesteten Konfigurationen.

Die Forscher führen diese Detektionslücken vor allem auf zwei Faktoren zurück: Zum einen binden sich viele Detektoren zu stark an einzelne Nachrichtentypen. Zum anderen weisen die manipulierten Abläufe eine hohe Ähnlichkeit zu regulärem Netzverkehr auf.

Versuche, auf maschinellem Lernen basierende Erkennungsmechanismen mit den zuvor übersehenen Angriffen nachzutrainieren, führten zu gemischten Resultaten.

Zwar stieg die Erkennungsrate, gleichzeitig nahm jedoch auch die Zahl der Fehlalarme deutlich zu:
- Beim RRC-Detektor verbesserte sich die Erkennungsquote von 51 Prozent auf 96 Prozent, während die Falsch-Positiv-Rate von 1,4 Prozent auf 5,3 Prozent kletterte.
- Beim NAS-Detektor stieg die Erkennung von 27 Prozent auf 63 Prozent, wobei sich die Fehlalarme von 4,7 Prozent auf 8,8 Prozent erhöhten und im extremsten Fall 15 Prozent erreichten.

Während Forscher an neuen Detektionslösungen arbeiten, nutzen Kriminelle bereits heute gezielt Sicherheitslücken in veralteten Systemen aus. Erfahren Sie in diesem kostenlosen PDF-Ratgeber, wie Sie durch die richtigen Updates und Einstellungen Ihr Gerät rund um die Uhr vor Malware und unbefugtem Zugriff absichern. Kostenlosen Sicherheits-Ratgeber herunterladen

Branchenaustausch und geplante Weiterentwicklung

Die Ergebnisse der Forscher stoßen bereits auf Resonanz in der Fachwelt. Die Plattform wurde bei der FASG-Arbeitsgruppe des Mobilfunkverbands GSMA präsentiert. Zudem erhielt die Electronic Frontier Foundation Beispiele für Angriffe, die von dem Werkzeug Rayhunter nicht erkannt worden waren, und forscht an deren künftiger Detektion.

Für die Zukunft plant das Team um Kim den Aufbau eines Multi-Punkt-Monitorings, um gefälschte Basisstationen in Echtzeit erkennen und lokalisieren zu können. Gefördert werden die Forschungsarbeiten vom Institute of Information & Communications Technology Planning & Evaluation (IITP) mit Mitteln des südkoreanischen Wissenschaftsministeriums.

Eine wissenschaftliche Präsentation der Plattform ist für die Sicherheitskonferenz IEEE ACSAC 2026 vorgesehen, die vom 7. bis 11. Dezember 2026 in Los Angeles stattfindet.