每当发布新款智能手机时都会带有新的功能，但是无论新手机如何更新换代，其核心技术还是十几年前一样，实际上使用上世纪的电话技术可以对目前市场上主流的智能手机发起攻击。

一个来自于佛罗里达大学、石溪大学和三星美国研发中心发现了只需要使用上世纪80年代的AT指令技术就可以对安卓设备进行黑客攻击。这些古老的拨号上网猫和电话线可以控制固定电话的拨号操作，后来AT指令技术还被用来关于短信、3G和LTE技术的通信协议，甚至还被用于智能手机摄像头的控制和触摸屏操作。

研究人员本月在Usenix安全峰会上展示了他们的发现成果，手机制造商通常会对手机设定接收AT指令输入来测试手机，而在手机测试出厂后，制造商并没有关闭该权限，只需要使用USB接口的数据线连接后就可以访问。因此攻击者可以通过带有恶意代码的USB接口充电线接入手机后，即使是锁屏状态下还可以发起攻击获取手机的管理员权限。

来自佛罗里达大学的嵌入式系统安全研究人员Kevin Butler表示，当用户使用带有恶意代码的USB接口数据线插入手机后，攻击者就可以打开手机接收AT指令的功能。手机接收AT指令功能常被用于设备的测试，一般不公开。目前为止，已经发现有超过3500个AT指令，而且绝大多数没人整理过这些指令。

攻击者可以通过这些指令解锁手机锁屏，接着触发屏幕上的触摸指令，模拟生物体在触摸屏上的操作，从而在手机中找到需要的数据资料。由于每个安卓智能手机制造商不会公开自己的AT指令，因此需要攻击者进行反向工程找到不同安卓智能手机中的AT指令并逐一进行测试。研究团队对11个手机制造商的2000个安卓固件镜像进行了研究，针对4个不同品牌的8款安卓手机进行了攻击。

结果表明并不是所有的安卓手机都会立刻受到AT指令攻击，但是那些位于机场等公共场合的手机充电站需要特别小心攻击者使用那些具有恶意代码的USB数据充电线对手机发起攻击，而且研究人员还指出，安卓手机的“充电模式”并不能保护手机免受该攻击行为，有些手机并没有默认开启“充电模式”，即使在开启状态下，还是可以通过AT指令向手机发送权限弹窗，诱使用户点击允许按钮。

不同的AT指令攻击安卓手机的不同方面，一些指令会攻击手机天线和基带处理器，而一些用于打开手机摄像头的指令会被安卓系统认为与电话功能不符，所以即使是最传统的手机拨号页面也具有了强大功能，甚至可以对智能手机的固件刷机或触发触摸事件。

研究人员在对AT指令的研究过程中还发现手机上的蓝牙和其他通信协议标准也支持AT指令，这意味着AT指令攻击可以对整个手机的多个部分发起攻击，预计明年会出现很多使用AT指令攻击的事件。

目前三星和LG公式已经对自己的安卓智能手机发布了系统补丁程序，阻止通过USB接口获取AT指令。而安卓手机是否能访问AT指令取决于每个安卓手机制造商的态度，鉴于安卓手机系统的开放性和碎片化，谷歌也很难完全关闭安卓系统访问AT指令的功能。即使手机生产商发布了系统补丁程序，也无法针对旗下的所有机型，这意味着总有安卓手机暴露在漏洞危险中。