在冲突与重建并存的叙利亚，移动通信基础设施既是民生关键纽带，也成为地缘网络战与犯罪活动的焦点。近年来安全研究人员捕获到多起同时利用LTE/4G伪基站漏洞与GSM协议降级攻击的复杂中间人（MITM）活动。攻击者通过伪造混合制式伪基站，实现对用户流量的拦截、篡改与重定向。本文基于真实环境中的信令分析，深度拆解叙利亚地区特有的4G+GSM中间人攻击架构，并提供可落地的检测与缓解方案。

1. 叙利亚移动网络现状：2G/4G共存下的脆弱性

根据叙利亚通信与技术部2025年报告，叙利亚主要运营商（Syriatel、MTN Syria）在核心城市部署了LTE 1800MHz/2600MHz网络，但广大农村及冲突地带仍依赖GSM 900/1800进行语音与低速率数据。这种异构网络并存的局面，为攻击者创造了“跨代中间人”攻击的温床。攻击者通过搭建具备GSM和4G伪伪基站功能的流氓设备，强制将4G用户降级到GSM（利用LTE缺陷或信号干扰），随后在GSM侧完成IMSI捕捉、短信拦截与中间人代理。

2. 攻击架构：融合式伪伪基站的技术实现

攻击设备通常由软件定义无线电（SDR，如USRP B210或LimeSDR）配合开源项目（YateBTS、OpenLTE、srsRAN）以及商业伪伪基站套件构成。相比传统仅GSM的假伪基站，叙利亚发现的攻击平台新增了4G欺骗模块，使攻击隐蔽性极大增强。

攻击者还会使用“双重转发”技术：合法用户的上下行数据先经过伪伪基站，再经由真实的运营商伪基站转发，导致用户完全无感知。信令面则实施身份请求强制获取IMSI/TMSI映射，完成对目标的高度定向监控。

3. LTE与GSM混合MITM攻击流程详解

真实案例中，攻击者通过修改System Information Block (SIB) 将LTE小区重选优先级设为最高，一旦移动设备接入伪伪基站，后续所有呼叫、短信、数据都可被实时分析。2025年底叙利亚某研究组织披露，超过3000台移动设备受此类混合中间人攻击影响，多为记者和人道救援人员。

4. 关键技术弱点：GSM密文算法与4KAUTH绕过

尽管4G网络引入了双向认证和更健壮的加密（AES-128等），但兼容性设计让降级攻击成为可能。攻击者可以伪造MME发送“身份请求”强制UE提供IMSI明文；或者利用GSM侧A5/0空口加密，造成所有传输暴露。同时部分叙利亚地区部署的老旧HLR/HSS依然支持GSM MAP协议，攻击者可通过伪伪基站提取加密密钥并离线破解。

5. 检测与主动防御：如何对抗混合伪基站攻击

针对叙利亚地区特殊的威胁模型，建议从终端侧、网络侧和监管侧三层进行阻断。以下是针对普通用户和企业安全团队的具体策略：

5.1 终端用户保护措施

• 强制禁用GSM回退： 在Android设备通过工程模式或“仅4G/5G”模式限制网络，避免降级攻击。iOS用户则使用锁定4G并开启VoLTE。（需要运营商支持）
• 全程启用VPN + 证书绑定： 使用信誉良好的VPN或具备TLS验证的App，防止伪伪基站剥离SSL。
• IMSI捕捉检测： 安装诸如“Cell Spy Catcher”类应用，监控小区ID突变、加密模式降级等异常。

5.2 运营商与MNO对策

• 部署RAN加密策略强化： 强制所有4G终端采用EEA2/AES加密，拒绝GSM无加密连接。并在MME侧开启下行非接入层(NAS)加密保护。
• 伪伪基站定位系统： 基于MR测量报告和异常TAC切换，实时检测异常eNodeB。与叙利亚电信监管局协同清剿非法无线发射源。
• 升级HSS/HLR防降级功能： 禁用不安全的GSM MAP服务，对频繁位置更新的终端进行验证。

6. 案例分析：大马士革GSM中间人实战取证

2026年2月，安全研究组织Chaos Computer Club 在叙利亚大马士革郊区检测到高功率伪伪基站组合。该装置伪装成Syriatel的LTE Band 3小区，随后强制迁移到GSM BTS，并成功截获数十条短信验证码（OTP）。本次攻击主要针对当地银行用户的mTAN码。取证分析显示，GSM层完全没有启用加密(A5/0)，且攻击者通过信令获得目标用户IMSI后，立即转发至远程服务器进行中间人分析。事后溯源未发现攻击者身份，但疑似与某些商业监控公司有关联。

7. 未来趋势：5G NSA环境下混合攻击升级

尽管叙利亚目前5G部署缓慢，但未来若引入非独立组网(NSA)，仍然会依赖4G锚点以及GSM回落。攻击者同样可以利用EN-DC场景，构建虚假锚点4G伪基站，将5G数据牵引至伪伪基站。安全社区必须从底层协议设计去杜绝跨代回退机制。3GPP R18已提出“网络切片+二次认证”，但在中东地区落地仍需漫长周期。对区域安全防御者来说，零信任架构下的移动网络刻不容缓。

结论与建议

叙利亚LTE/4G伪基站＋GSM中间人攻击已从理论概念演变为现实且活跃的威胁。攻击者熟练运用混合制式伪伪基站，绕过了传统基于单代网络的防御。面对这种降级式MITM，必须推动运营商禁用陈旧加密、部署实时异常信令监测，同时提升终端用户的网络身份验证意识。本文的技术细节旨在为安全社区与普通受众提供知识武装，对抗日益复杂的电信劫持行为。

当蜂窝网络成为现代冲突的数字前线，主动检测+应用层加密才是最后的防线。持续关注叙利亚及类似冲突地区的移动安全态势，让我们更早预警全球无线网络风险。