У противника появился 5G - три класса атак на канал C2 БпЛА, наглядно

12 января 2026 года вражеский Киевстар запустил пилотную 5G-зону в Львове - первый локальный пилот 5G на Украине, в рамках программы Минцифры. Частоты - 3500 МГц (скорость) и 700 МГц (покрытие). Дальше по плану - Харьков, Бородянка, Киев, Одесса; полное развёртывание заявлено «после войны». Оператор отдельно подчёркивает: 5G «не помешает военной связи» - речь о радиочастотной совместимости.

На этом фоне работа Института аэронавтики (ITA, Бразилия) и Northeastern University показывает, что главный риск 5G для управления БпЛА - не в радиопомехах, а в самой архитектуре. Авторы разбирают три структурные уязвимости канала C2 поверх 5G SA - той самой архитектуры, на которую переводят дальние BVLOS-операции.

Ключевой тезис: успех атаки на C2 не сводится к обрыву связи. Абонент остаётся зарегистрированным, IP-связность сохраняется, туннель GTP-U активен - а БпЛА получает устаревшую телеметрию, не восстанавливается при хэндовере или выполняет семантически изменённую команду. Сеть выглядит подключённой - контур управления уже не безопасен.

Три вектора, наглядно:

📡 TM1. «Сосед по сети». БпЛА и НСУ - два абонента одного оператора в одном сетевом срезе (slice) и одной сети данных (DNN). В той же логической прослойке - третий абонент: легитимный, но скомпрометированный или специально подготовленный. Он шлёт обычный UDP-трафик в сторону БпЛА. Без взлома, без вмешательства в радиоканал, без затрагивания самих команд MAVLink. На коммерческом ядре Nokia CMU 5G SA: медиана RTT уходит с 24 мс в хвост до 950 мс, потери команд MAVLink 5-16%. Туннель формально жив, статистика связи нормальная - а команды управления опаздывают или теряются.

Вариант поверх - отражённая атака («бумеранг»): короткие UDP-всплески через ядро возвращаются на цель из доверенного сегмента сети. Пробивает даже сценарии, где прямое соседство абонентов запрещено.

📡 TM2. «Инсайдер в опорной сети». Атакующий не трогает БпЛА вообще. Он шлёт корректные по схеме HTTP/2-запросы к функциям опорной сети - NRF (реестр сетевых функций) и SMF (управление сессиями). Запросы валидны по формату, но рассогласованы с внутренним состоянием функции. NRF падает, перезапускается, снова падает - в контейнерных развёртываниях Kubernetes это даёт состояние CrashLoopBackOff с растущей задержкой между попытками перезапуска. В эксперименте суммарная недоступность дошла до 395 секунд. SMF не может перерегистрироваться. В этот момент БпЛА выполняет хэндовер между БСками - опорная сеть не координирует переключение, PDU-сессия не восстанавливается, MAVLink-heartbeat идёт в пустоту. Автопилот срабатывает в failsafe и срывает миссию.

Особенность: атака не касается ни борта, ни НСУ, ни радиоканала. Удар по сетевым функциям в дата-центре оператора.

📡 TM3. «Скомпрометированная базовая станция». Шифрование радиоинтерфейса 5G (PDCP) терминируется на БС - gNodeB. Дальше до инкапсуляции в служебный туннель GTP-U пакет идёт в открытом виде. Если gNodeB под контролем атакующего, он читает содержимое команд MAVLink и подменяет его на лету. В эксперименте перехватчик через iptables и NFQUEUE парсит команду SET_POSITION_TARGET_LOCAL_NED (задание целевой точки навигации) и подменяет её на смещение в системе координат MAV_FRAME_LOCAL_OFFSET_NED. БпЛА летит в точку, выбранную атакующим. На стороне НСУ - штатная сессия, нормальная телеметрия, никаких признаков. Радиоключи целы, туннель цел, протокол MAVLink парсится корректно - а аппарат уже под чужим управлением.

Попутно в работе раскрыты CVE-2026-8187 и CVE-2026-8186 (атаки на функцию UPF Open5GS), CVE-2026-7183 (краш gNodeB UERANSIM через необработанное исключение). Две заявки по NRF и SMF Open5GS - в процессе.

⭐️ Полезная Нагрузка

Редактор забыл указать, что на вражеских перехватчиках коптерного типа «Sting» устанавливается полётник Sequire H743 v2(на базе STM32H743).

Компоненты, которые встречались: камеры Caddx IRC-640CA/IRC-384CA и Kurbas-640α(фото перехватчика), видео-передатчик - SKYZONE TX2501 CNC (2025) 2.5W, защищенная связь с ППРЧ от Львовской компании Sine Engineering - sine.link mono A6(500 - 1010 МГц) или Diversity-приёмник Happymodel ES900(915 МГц/868 МГц), идущая вместе с Diversity-приёмником RadioMaster RP4TD 2400 RX(2.4 ГГц, два чипа SX1281), сервы EMAX ES08MD II, двигатели BrotherHobby Tornado T5 3115 Pro версия 900kv и аккумы 8s3p ёмкостью 13500 мАч(состоит из Molicel P45B INR21700 - 4500 мАч, 40А).

Также, рассказывали про дистанционное управление HORNET VISION Ctrl(демонстрация работы).

ТТХ:
⚙️ Масса - ~4 кг, БЧ - 500 г ВВ
⚙️ Крейсерская скорость: 140-170 км/ч
⚙️ Максимальная скорость: 280 км/ч
⚙️ Рабочая высота полета: 0-5000 м
⚙️ Максимальная высота: 7000 м
⚙️ Тактический радиус действия (с возможностью возврата): 18,5 км
⚙️ Максимальная дальность полета: 37 км
⚙️ Радиус поражения - ~3 м (осколочно-фугасный подрыв)

⭐️ Полезная Нагрузка