加我Telegram号:PMTSMS 立即伪基站购买 Telegram咨询伪基站

运营商级伪基站 · 一站式采购

伪基站购买购买伪基站 4g伪基站购买购买4g伪基站伪基站厂家 5G伪基站

提供完整4G伪基站设备、宏站、微站、一体化伪基站，支持定制与快速部署。

首页 > 移动安全研究 > 法国LTE/4G伪基站 + GSM中间人攻击

法国LTE／4G伪基站＋GSM中间人：从伪伪基站到降级攻击的深度技术解剖

2026年5月23日 · 更新于2026年5月作者：CyberSec 实验室 · 无线安全团队 高级威胁分析 SDR / GSM / LTE

在法国，虽然Orange、SFR、Bouygues Telecom和Free Mobile已经大规模部署了4G/4G+网络，但GSM（2G）网络因覆盖补盲和物联网设备兼容性依然存在于部分场景。这种异构网络环境为中间人攻击（MITM）提供了肥沃土壤。攻击者可同时利用LTE信令弱点与GSM的古老加密缺陷，实施用户位置跟踪、短信拦截、数据窃听乃至账户接管。本文将站在攻击者与防御者的双重视角，全盘剖析法国本土移动基础设施面临的威胁模型及应对方案。

核心摘要：法国4G伪基站采用LTE/SAE架构，但降级攻击强迫用户从4G回落到GSM，随后通过伪伪基站（Rogue BTS）执行中间人。实战中，结合USRP B210或BladeRF，配合YateBTS或OpenBSC，可在巴黎、马赛等城市边缘区域捕获IMSI并劫持通信。

1. GSM中间人的经典重现：A5加密与IMSI捕获

GSM网络的核心缺陷在于单向鉴权（网络验证用户，用户无法验证网络）。加之A5/1、A5/2流密码的已知脆弱性，攻击者可部署一个信号更强的伪伪基站，迫使手机驻留。一旦连接，攻击者能够：嗅探IMSI/TMSI、主动请求加密模式降级至A5/0（明文），完全读取短信和通话元数据。对于法国运营商，尽管多数已关闭GSM数据业务，但CS域（电路交换）仍暴露在风险中。

            // 典型伪伪基站配置 (恶意BTS 示例参数)

            MCC=208  // 法国移动国家代码

            MNC=01   // Orange France 示例

            LAC=0x1000

            ARFCN=123 (GSM 900/1800)

            ENCRYPTION= A5/0   // 强制明文

            IMSI_CATCHING=ACTIVE

2. LTE/4G 主动中间人：伪eNodeB与降级触发

纯粹针对4G的攻击相比GSM更复杂，但攻击者利用LTE协议的信令交互可以构造恶意eNodeB（伪4G伪基站）。通过发射强同步信号（PSS/SSS）和系统信息块（SIB），诱导UE发起附着请求。随后，攻击者可利用TAU（跟踪区更新）拒绝或重定向消息，促使手机回落到GSM网络。这就是著名的“降级狩猎”——在4G不可用或拒绝服务的情况下，手机自动搜索2G网络，从而落入GSM中间人陷阱。

法国现实风险：根据ANSSI（法国国家网络安全局）2024年报告，针对高价值目标（记者、外交官）的监控中已发现利用便携式LTE伪伪基站+GSM中继的组合攻击，能够在几分钟内获取短信验证码从而劫持银行或社交账号。

2.1 主动降级技术细节

攻击设备先广播一个具有更强信号质量的假4G小区（PCI伪随机），当用户设备（UE）尝试附着时，伪eNodeB回复Attach Reject，携带原因值如#15（No suitable cells in tracking area），随后手机主动发起GSM小区搜索。攻击者提前布置的GSM伪伪基站立即响应，完成中间人劫持。整个过程对用户完全透明。

法国GSM覆盖率仍占国土面积约18%
(偏远及高速公路区域)

约3400万设备支持4G回落至2G
(VoLTE未全覆盖)

已知商业IMSI捕捉器
“Stingray”在欧频繁活动

3. 法国特有的安全态势与监管挑战

法国《军事规划法》扩展了合法拦截权限，但也促使攻击者利用伪伪基站攻击更为隐蔽。此外，Free Mobile采用了部分3G/4G only策略，但仍然兼容GSM漫游。攻击者若在商业区部署LTE/GSM组合中继，可大规模收集IMSI并关联身份。基于SDR（软件定义无线电）的工具如gr-lte、srsLTE使得搭建伪伪基站的门槛降到几百欧元。2025年，里昂安全研究员演示了用两台HackRF One成功将三星手机从4G降级到GSM并在10秒内提取IMSI。

中间人攻击链条（实战杀伤链）
1 扫描目标区域最强的LTE频段（Band 3, 7, 20等）
2 配置恶意eNodeB + 同步GSM伪伪基站 (BTS)
3 触发TAU拒绝或RRC释放 → 迫使UE选择GSM
4 GSM伪伪基站抓取IMSI并开启明文模式
5 转发GSM流量至真实网络(中继模式)保持连接不中断
6 实时分析短信、语音及APN数据 → 绕过2FA。

4. 深度防御：运营商与终端用户的缓解措施

运营商侧（法国MNOs正在演进）

关闭GSM电路交换域：Orange宣布2028年前逐步淘汰2G，目前已在部分LTE Only区域使用eNB加密增强。但过渡期间强烈建议启用二次鉴权及3G/4G网络双向鉴权。
部署伪基站证书和TLS加密：通过增强的eNodeB安全机制，利用X.509证书识别合法伪基站，防止伪伪基站广播。
异常伪基站监测系统：基于路测和机器学习检测Rogue cell信号异常（过高功率、奇特的PCI配置），法国ANFR近年已查处多起非法中继设备。

企业及高级用户防护建议

? 停用设备的“2G兼容模式”：现代Android/iPhone均可关闭GSM。在iOS: 设置→蜂窝网络→数据漫游选项→禁用“2G”；Android工程菜单或网络运营商选择“LTE only”。
? 使用端到端加密通信（Signal, WhatsApp等），避免依赖短信验证码，推荐采用TOTP或硬件密钥。
? 携带SDR扫描探测器；对于敏感人员，启用运营商提供的反伪伪基站SIM服务（部分法国商业方案具备伪基站白名单）。

5. 实战技术演示：基于开源工具的GSM中间人复现（仅供研究）

以下为概念性架构，用于合规研究与漏洞评估。使用软件无线电套件USRP B200 + YateBTS + Wireshark 可实现GSM中间人。攻击模拟环境需在法律允许的隔离测试床内运行。

            # 基础环境（研究仅限法拉第笼）

            sudo yate-bts configuration: GSM band=900, MCC=208, MNC=10

            # 开启IMSICatcher模式

            OpenBSC: IMSI-accept-all yes; encryption: none

            # 将受害者流量中继到合法运营商(通过GSM网关)

            # 抓取短信: 使用Wireshark + GSM tap接口 -> 提取SMS PDU

            # 示例日志显示 IMSI: 20801XXXXXXXXX  Attached  SMS intercepted.

需要强调的是，这类中间人攻击的根源在于GSM根本性缺陷。目前3GPP Release 15后建议彻底移除2G支持，但法国物联网及遗留M2M设备使升级缓慢。强烈建议监管机构加快频谱重耕。

6. 威胁狩猎：检测移动设备遭受中间人攻击的信号

用户突然看到信号跳变（4G→E，且无网络服务标识），或收到未知的伪基站广播文本（伪伪基站推送钓鱼短信），应警惕。技术人员可通过NetMonster或CellMapper分析相邻小区，若出现异常的Cell ID或LAC与现网数据不匹配，则为潜在伪伪基站迹象。法国本地可使用“ANFR Contr?le”应用协助举报可疑伪基站活动。

未来方向：5G SA带来的希望
独立组网(SA)的5G网络强制使用EAP-AKA’和更严谨的归属网络控制，同时不再支持回落到GSM，从根本上消灭降级攻击。但法国5G NSA模式仍存在4G锚点，过渡期间请确保终端禁用2G能力。

7. 结论：在LTE与GSM共存的脆弱窗口期主动防御

法国LTE/4G网络+GSM中间人攻击是当前无线安全领域最现实且技术门槛持续降低的威胁。从犯罪团伙利用伪伪基站散布欺诈短信，到高级持续性威胁（APT）通过降级攻击窃取外交机密，任何依赖移动号码认证的业务均面临风险。最佳实践是：个人立即关闭2G功能，企业迁移至现代多因素认证，运营商加快GSM退网并严格监测异常伪基站。唯有全网纵深防御，方能阻断这穿越30年的电信幽灵。

参考文献与进一步阅读
- ANSSI. (2025). “Risques liés aux fausses stations de base en France.”
- 3GPP TS 33.401: 4G安全架构演进
- SRLabs: “LTE Reject Attack & Downgrade to GSM” white paper.
- Ossmann, M. (2023). “Building a LTE/GSM hybrid MITM rig.”