La discussion entre la carte à puce et le mobile ne se fais pas par des commandes "AT" ?
Que la carte sim prenne la main sur l'OS mobile me semble tout de même difficile.

La carte SIM ne prend pas la main sur l'OS mobile.

Une carte SIM est un une carte à puce dont le principal but est l'unicité : la mémoire de la carte SIM contient une clé privée correspondant à l'abonnement de l'utilisateur, qui ne doit pas pouvoir être partagé avec d'autres personnes. C'est le même principe et le même objectif qu'avec une carte d'abonnement TV, carte bancaire ou une clé OTP.

De ce fait, tu n'es pas censé pouvoir écrire facilement le firmware de ta carte SIM.

Une carte SIM est un microcontrôleur qui contient un système Java embarqué. Il est alimenté par les contacts avec téléphone, et communique avec le baseband (puce modem radio) de ton téléphone en utilisant un protocole de type série (UICC). Le microcontrôleur s'occupe de participer à chiffrer/déchiffrer les communications mobiles, mais pas que : au tout début de la téléphonie numérique, la carte SIM devait aussi permettre de contenir une partie de l'intelligence qui pouvait être transposée dans les menus de ton téléphone, stocker tes SMS, et fournir toute une gamme de services supplèmentaires.

Du fait de ces possibilités, le protocole de communication série entre la carte SIM (dont les différents applets Java qui ont pu être installés dessus) et le baseband (qui peut ensuite relayer certaines informations au processeur applicatif, via une couche de communication logicielle, composée notamment de commandes AT, qui dépend du fondeur du baseband) est donc très riche.

Au final, ce qu'on appelle aujourd'hui les applications mobiles ont fini par être intégrées à l'OS mobile et non à la carte SIM, dont une partie des fonctionnalités sont donc caduques. Mais certains des applets Java qui ont été intégrés aux cartex SIM au début des années 2000 par les fabricants sont toujours là et sont toujours présents dans les cartes SIM.

Il s'est avéré qu'un de ces applets, si j'ai bien compris, traitait des commandes qui ouvraient un canal de communication qui pouvait passer directement entre les SMS et cet applet de la carte SIM, par le baseband, et permettait dans certains cas de récupérer certaines informations de contrôle destinées à l'opérateur de manière non correctement authentifiée.

Il y a maintenant une alerte Cert Adisory, CERT-EU Security Advisory 2019-020.

https://media.cert.europa.eu/static/SecurityAdvisories/2019/CERT-EU-SA2019-020.pdf

Sa conclusion est :

Recommendations

Unfortunately, there is nothing that phone users can do to mitigate the attack.  Organizations should contact their mobile operators for specific mitigations and solutions.The recommendations for the mobile community to deal with the immediate threat is for mobile operators to analyse and block suspicious messages that contain S@T Browser commands [3].Mobile  Operators  could  also  try  to  change  the  security  settings  of  UICCs  remotely,  or  even uninstall and stop using the S@T Browser technology completely, but this may be slower and considerably more difficult to do.

Une carte SIM est un microcontrôleur qui contient un système Java embarqué.

Merci aussi Marin pour ces explications précises.

Le Java embarqué est Java Card, un Java réduit pour tenir sur une carte SIM, qui était développé par SUN (suivant les préconisations de Sclumberger et Gemplus qui ont fondé le java Card Forum en 1997). En 2010, SUN est racheté par Oracle, et Java Card n'est plus développé.

https://fr.wikipedia.org/wiki/Java_Card