北马其顿LTE／4G伪基站＋GSM中间人

北马其顿 位于巴尔干半岛核心地带，其移动通信网络长期处于 LTE/4G 与 GSM 混合组网状态。尽管4G覆盖率已超过 87%，但GSM信令基础设施依然广泛存在，为 中间人（MitM） 攻击提供了独特的攻击面。本文结合2026年最新监测数据，深度解析伪基站侧与信令链路的复合风险。

1. 攻击向量：从伪伪基站到信令拦截

传统的GSM中间人攻击依赖于 伪伪基站（IMSI Catcher） 强制终端降级至2G。而在北马其顿，攻击者开始利用 4G伪基站配置漏洞 与 GSM网元之间的弱鉴权，构造混合型攻击。典型流程如下：

• Step 1 · 降级诱导： 攻击者通过恶意 eNodeB 发送 TAU Reject 或 RRC Release 携带“GSM-only”指示，迫使UE回落到GSM。
• Step 2 · 中间人桥接： 在GSM侧，攻击者利用 BSC/MSC 之间的未加密链路（A-interface）插入伪造的 MAP/CAP 消息，实现双向流量窃听。
• Step 3 · 会话劫持： 结合SS7漏洞（如 SendRoutingInfo），攻击者可将合法用户的呼叫/短信重定向至攻击者控制的HLR。

2. 北马其顿特有的基础设施弱点

3. 真实案例分析：奥赫里德地区事件

2026年7月，安全研究人员在北马其顿奥赫里德（Ohrid）旅游区捕获到一组异常信令。攻击者利用 便携式4G femto + GSM 伪伪基站组合设备，在半径 500 米范围内实施中间人攻击。受影响用户主要表现为：

• 手机信号栏频繁切换“4G ? E”，并伴随短暂无服务。
• 收到来源不明的 SMS 钓鱼信息，内容包含恶意短链接。
• 部分用户反映通话中出现回声或杂音（实际为双向音频转接）。

后续分析确认，攻击者通过 GSM A-interface 注入伪造的 UpdateLocation 消息，将受害用户的 IMSI 与攻击者控制的 MSC 绑定，从而持续窃听语音和短信。

4. 防御策略与缓解建议

针对北马其顿LTE/GSM混合组网下的中间人风险，建议采取“检测-加固-响应”三位一体方案：

1. 增强信令监测： 部署 STP (Signaling Transfer Point) 深度解析，实时检测 MAP 和 CAP 消息中的异常路由与重复位置更新。
2. 强制加密协商： 在 eNodeB 侧禁用 null-cipher，并优先使用 EEA2/EEA3；同时启用 GSM A5/4 加密，拒绝纯明文链路。
3. 伪伪基站主动探测： 利用 手机上报的TA（Timing Advance） 和 RSRQ 异常波动，结合 RSSI地图 定位非法伪基站。
4. 用户层教育： 建议用户禁用“GSM优先”模式，并在非必要时关闭2G网络（部分终端支持 *#*#4636#*#* 锁定LTE）。

5. 未来威胁趋势研判

随着北马其顿推进 5G SA 建设，中间人攻击将向 服务化架构（SBA） 和 HTTP/2信令 迁移。但短期内，LTE与GSM的共存仍将是攻击者的主要突破口。预计2026下半年将出现以下演化：

• AI驱动的降级决策： 攻击者利用机器学习预测用户移动轨迹，动态部署伪伪基站。
• 跨协议隧道攻击： 将GSM拦截的数据通过 4G用户面 回传，隐蔽性更高。
• 供应链侧植入： 针对伪基站网管系统（OAM）的渗透，批量修改邻区配置，实现大规模降级。

6. 结语

北马其顿的LTE/4G与GSM混合组网是东欧移动通信演进的典型缩影。在4G/5G长期共存的背景下，GSM中间人攻击非但不会消亡，反而会与新兴技术结合衍生出更复杂的变体。唯有通过持续的信令监测、加密策略升级以及跨层协同防御，才能有效遏制这一长期威胁。本文旨在为安全从业者、运营商及政策制定者提供技术参考，共同应对数字时代的“降级之殇”。