home *** CD-ROM | disk | FTP | other *** search
/ WINMX Assorted Textfiles / Ebooks.tar / Text - Tech - Phone Phreaking - The ultimate Cellular Phone Phreaking Manual (TXT).zip / cellular-manual.txt
Text File  |  1999-10-14  |  76KB  |  1,375 lines
  1.  
  2.  
  3. +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  4.  THE HIGH TECH HOODS and
  5.  A-CORP PRESENTS.....
  6.  
  7.                   %%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
  8.                   %%%                                %%%
  9.                   %%%     THE ULTIMATE CELLULAR      %%%
  10.                   %%%        PHONE PHREAKING         %%%
  11.                   %%%        MANUAL #1 of 2.         %%%
  12.                   %%%                                %%%
  13.                   %%%          COMPILED BY           %%%
  14.                   %%%           THE RAVEN            %%%
  15.                   %%%                                %%%
  16.                   %%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%
  17.  
  18.  
  19. Hmmm.... Another text file.. Make sure that you keep this one for your 
  20. collection!! There is no other text file that is more complete or up-to
  21. date that explains cellular phone phreaking like this one for 1992!!!
  22.  
  23. Since this is going to be a complete manual it has been broken-up into 
  24. 2 parts so this is manual 1. I'm hoping that there will be some info.
  25. on cellular phreaking published in PHRACK that may be able to help you and
  26. me with our endevors but I'm waiting.
  27.  
  28. Another thing that I just found out is that the Hack/Phreak Community is
  29. in need for a BBS that doesn't give bullshit info (most do!) and thats cause
  30. our world has been infiltrated with narcs and telco/bell agents that try to
  31. spread as much misinformation as possible!! But there are a few bbs's that
  32. keep the faith and they will be listed at the end of this text.
  33.  
  34.                                                    THE RAVEN
  35.                                                    +=======+
  36.  
  37. -=-=--=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
  38.  
  39.   INDEX....
  40.                     I. Improved Mobile Telephone Service (IMTS)
  41.                    II. General Information
  42.                   III. Cellular Freqs. & Channels
  43.                    IV. The Cell & It's Structure
  44.                     V. Equipment Description
  45.                    VI. More General Info.
  46.                   VII. Roaming
  47.                  VIII. NOTE
  48.                     
  49. =-==-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
  50.  
  51.                         CELLULAR PHREAKER TYPES
  52.                         -----------------------
  53.  
  54.   There are two types of cellular phone phreakers. The first type is the one 
  55. whos's intrested in scanning cellular phone channels basically to overhear
  56. conversations.  The second type is the one who obtains and modifies cellular
  57. equipment  so that he can make free phone calls at someone elese's expense.
  58.    
  59.   
  60.  I.  IMPROVED MOBILE TELEPHONE SERVICE
  61.  
  62.   This system that was used prior to cellular phones was the Improved Mobile
  63. Telephone Service (IMTS), which was much easier to scan for.
  64.   Most scanner enthusiasts are familiar with this standard mobile phone
  65. system; this system has gone thru little evolution in the past decade in the
  66. U.S.  It has remained a considerably limited service. A large metro area may
  67. only have several hundred users, (New York City has about 900 mobile phone
  68. subscribers) dur largely to limitations imposed by spectral overcroeding.
  69. Land mobile commo has seen a 10-12% annual growth rate for the past two
  70. decades. The result is that the 40, 150 and 450 MHZ bands are overcrowded.
  71. Even the utilization of the new 900 MHZ band (with 30-40 times more channels
  72. available than other bands) is a short-lived solution to the problem.
  73.  
  74.  IMTS freqs (MHZ):
  75.  
  76.               Channel     Base Freq.       Mobile Freq.
  77.               -----------------------------------------
  78.                                           VHF LOW BAND
  79.                 ZO          35.26             43.26
  80.                 ZF          35.30             43.30
  81.                 ZH          35.34             43.34
  82.                 ZA          35.42             43.32
  83.                 ZY          35.46             43.46
  84.                 ZR          35.50             43.50
  85.                 ZB          35.54             43.54
  86.                 ZW          35.62             43.62
  87.                 ZL          35.66             43.66
  88.                                           VHF HIGH-BAND
  89.                 JL          152.51           157.77
  90.                 YL          152.54           157.80
  91.                 JP          152.57           157.83
  92.                 YP          152.60           157.86
  93.                 YJ          152.63           157.89
  94.                 YK          152.66           157.92
  95.                 JS          152.69           157.95
  96.                 YS          152.72           157.98
  97.                 YA          152.75           158.01
  98.                 JK          152.78           158.04
  99.                 JA          152.81           158.07
  100.                                             UHF BAND
  101.                 QC          454.375          459.375
  102.                 QJ          454.40           459.40
  103.                 QD          454.425          459.425
  104.                 QA          454.45           459.45
  105.                 QE          454.475          459.475
  106.                 QP          454.50           459.50
  107.                 QK          454.525          459.525
  108.                 QB          454.55           459.55
  109.                 QO          454.575          459.575
  110.                 QA          454.60           459.60
  111.                 QY          454.625          459.625
  112.                 QF          454.650          459.650
  113.  
  114.  The VHF high-band freqs. are the most popular IMTS channels. If you live
  115. within 25-50 miles of even a moderate sized town, you should have at least
  116. one VHF high-band channel. VHF low-band IMTS is used in rural areas and
  117. those with hilly terrain. UHF IMTS is primarily used in cities where the
  118. VHF channels are crowded. If you live in a major city, expect to have most,
  119. if not all, of these channels available to you.
  120.  
  121. II. GENERAL CELLULAR INFO
  122.  
  123.   This section is a little boring but it's needed to set a basic foundation
  124. of cellular phone phreaking so that part 2 doesn't sound like all
  125. technicial talk!
  126.   The FCC originally estaablished 3 cellular bands. One was given to the local
  127. Bell or Telco, (wireline carrier), one to an independent firm (non-wireline
  128. carrier), and one reserved for future use. Originally there were 666 cellular
  129. freqs or channels. In recent years the FCC has tacked on another 156 freqs
  130. for a total of 832 freqs, and all cellular makers have upgraded their phones
  131. to accomodate the new channels. Some of the new channels appears above the 
  132. original 666 while others appear below.
  133.   The cellular system cannot know whether or not a cellular phone can be 
  134. switched to one of the 156 channels without the phone telling it. This is done
  135. by the Station Class Mark (SCM), which is a 4-bit binary number.
  136.                 (1) Bit #1 is "0" for 666 and "1" for 832
  137.                 (2) Bit #2 is "0" for a mobile unit and
  138.                     "1" for a voice activated transmit.
  139.                     (That saves batteries on portables.)
  140.                 (3) Bit #3 and #4 identify the power class 
  141.                     of the phone:
  142.                                   "00" = 3 watts
  143.                                   "01" = 1.2 watts
  144.                                   "10" = 0.6 watts
  145.                       and "11" is not assigned.
  146.  
  147.   The old traditional scheme for handling cellular traffic is the analog
  148. method or Frequency-Divison Multiple Access (FDMA). How the FDMA works is
  149. that free channels are found and each transmitter is assigned to one of them.
  150. When  the call finishes, th echannels are freed up for the next call. Also, as
  151. the two parties become physically closer or more distant as they drive or
  152. travhghhggytel the call may be  handed off to other freqs assigned to the new cells
  153. they are in.
  154.   Newer proposed schemes include Time-Divison Multiple Acess (TDMA) and Code-
  155. Divison Multiple Acess (CDMA). IN TDMA systems, calls may simultaneously use
  156. the same channels but are interspered between the pauses in the conversation.
  157. Many pauses result not only in the way people normally think and talk but when
  158. one party is talking, the other is listening. With TDMA, the Cellular Phone
  159. Company (CPC) injects small delays in parts of conversations to accommodate
  160. other traffic on that channel. This increases the lenght of the average phone
  161. call, which also increases their profits from it - not to mention the fact
  162. that they can increase there output by the factor of 3 and also then expand
  163. their operation.
  164.   CDMA is a system that's been used by military for the past 30+ years. CDMA
  165. appears to basically be a system where conversation are compressed into coded
  166. bundles and then decompressed at the other end. 
  167.   A Cellular Mobile Telephone (CMT) is one that is installed in a vehicle,
  168. aircraft, watercraft or whatever, as opposed to a transporable or portable
  169. unit.
  170.  
  171. III. CELLULAR FREQS & CHANNELS
  172.  
  173.   There are 832 cellular phone channels. 416 of these are allocated for the 
  174. non-wireline services (Band A), and 416 for the wireline services (Band B).
  175. Each of these channels have two freqs, spaced 45 MHZ apart, that operate in 
  176. a full-duplex mode. The lower freq is for the phone unit, while the upper is
  177. for the cell or basesite. Of the 416 channels, 21 are digital data control or
  178. "set up" channels and 395 are voice channels. Channels are numbered 1 thru
  179. 1023, and there is a gap from 800 to 990.
  180.  
  181.   Rather than producing a list of 1646 cellular freqs, I have provided the math
  182. eqations that can be used to calculate them. These equations can be programmed
  183. into computers and calculators.
  184.  
  185.                
  186.      N = Cellular Channel #              F = Cellular Freq
  187.      B = 0 (mobile), or B = 1 (base)
  188.  
  189.  CELLULAR FREQS from CHANNEL #S:
  190.  -------------------------------
  191.  
  192.   F = 825.030 + B*45 + (N-1)*.03
  193.         WHERE: n = 1 to 799
  194.  
  195.   F = 824.040 + b*45 + (N-1)*.03
  196.        where: N = 991 to 1023
  197.  
  198.   CELLULAR CHANNEL #s from FREQS:
  199.   -------------------------------
  200.  
  201.     N = 1 + (F-825.030-B*45)/.03
  202.       Where: F > = 825.030 (mobile)
  203.       or F >  = 870.030 (base)
  204.  
  205.     N = 991 + (F-824.040-B*45)/.03
  206.       Where: F < = 825.000 (mobile)
  207.        or F < = 870.000 (base)
  208.  
  209.   If the system uses OMNICELLS, as most do, you can readily find all the
  210. channels in a cell if you know just one of them, using tables constructed
  211. from these equations. Band A uses channels 1-333 under the old 666-channel
  212. system. To that have been added 667-716 and 991-1023 under the new 832-channel
  213. system. Band B uses channels from 334-666 under the old system, plus 717-799
  214. under the new system.
  215.  
  216. IV. CONTROL & VOICE CHANNEL ALLOCATIONS
  217. ---------------------------------------
  218. (D=DESIGNATOR,  CC=CONTROL CHANNEL,  VC=VOICE CHANNEL)
  219.  
  220.                 NON-WIRLELINE SERVICES (BAND A)
  221.                 -------------------------------
  222.  
  223.    
  224.  
  225.  D = 1A : CC = 313 : VC = 1,22,43,64,85,106,127,148,169,190,211,232,253,274,
  226.                           295,667,688,709,1003
  227.  
  228.  D = 2A : CC = 314 : VC = 2,23,44,65,86,107,128,149,170,191,212,233,254,275
  229.                           296,668,689,710,1004
  230.  
  231.  D = 3A : CC = 315 : VC = 3,24,45,66,87,108,129,150,171,192,213,234,255,276
  232.                           297,669,690,711,1005
  233.  
  234.  D = 4A : CC = 316 : VC = 4,25,46,67,88,109,130,151,172,193,214,235,256,277
  235.                           298,670,691,712,1006
  236.  
  237.  D = 5A : CC = 317 : VC = 5,26,47,68,89,110,131,152,173,194,215,236,257,278
  238.                           299,671,692,713,1007
  239.  
  240.  D = 6A : CC = 318 : VC = 6,27,48,69,90,111,132,153,174,195,216,237,258,279
  241.                           300,672,693,714,1008
  242.  
  243.  D = 7A : CC = 319 : VC = 7,28,49,70,91,112,133,154,175,196,217,238,259,280
  244.                           301,673,694,715,1009
  245.  
  246.  D = 1B : CC = 320 : VC = 8,29,50,71,92,113,134,155,176,197,218,239,260,281
  247.                           302,674,695,716,1010
  248.  
  249.  D = 2B : CC = 321 : VC = 9,30,51,72,93,114,135,156,177,198,219,240,261,282
  250.                           303,675,696,1011
  251.  
  252.  D = 3B : CC = 322 : VC = 10,31,52,73,94,115,136,157,178,199,220,241,262,283
  253.                           304,676,697,991,1012
  254.  
  255.  D = 4B : CC = 323 : VC = 11,32,53,74,95,116,137,158,179,200,221,242,263,284
  256.                           305,677,698,992,1013
  257.  
  258.  D = 5B : CC = 324 : VC = 12,33,54,75,96,117,138,159,180,201,222,243,264,285
  259.                           306,678,699,993,1014
  260.  
  261.  D = 6B : CC = 325 : VC = 13,34,55,76,97,118,139,160,181,202,223,244,265,286
  262.                           307,679,700,994,1015
  263.  
  264.  D = 7B : CC = 326 : VC = 14,35,56,77,98,119,140,161,182,203,224,245,266,287
  265.                           308,680,701,995,1016
  266.  
  267.  D = 1C : CC = 327 : VC = 15,36,57,78,99,120,141,162,183,204,225,246,267,288
  268.                           309,681,702,996,1017
  269.  
  270.  D = 2C : CC = 328 : VC = 16,37,58,79,100,121,142,163,184,205,226,247,268,289
  271.                           310,682,703,997,1018
  272.  
  273.  D = 3C : CC = 329 : VC = 17,38,59,80,101,122,143,164,185,206,227,248,269,290
  274.                           311,683,704,998,1019
  275.  
  276.  D = 4C : CC = 330 : VC = 18,39,60,81,102,123,144,165,186,207,228,249,270,291
  277.                           312,684,705,999,1020
  278.  
  279.  D = 5C : CC = 331 : VC = 19,40,61,82,103,124,145,166,187,208,229,250,271,292
  280.                           685,706,1000,1021
  281.  
  282.  D = 6C : CC = 332 : VC = 20,41,62,83,104,125,146,167,188,209,230,251,272,293
  283.                           686,707,1001,1002
  284.  
  285.  D = 7C : CC = 333 : VC = 21,42,63,84,105,126,147,168,189,210,231,252,273,294
  286.                           687,708,1002,1023
  287.  
  288.  
  289.                     WIRELINE SERVICES (BAND B)
  290.                     --------------------------
  291.  
  292.  D = 1A : CC = 334 : VC = 355,376,397,418,439,460,481,502,523,544,565,586,607
  293.                           628,649,720,741,762,783
  294.  
  295.  D = 2A : CC = 335 : VC = 356,377,398,419,440,461,482,503,524,545,566,587,608
  296.                           629,650,721,742,763,784
  297.  
  298.  D = 3A : CC = 336 : VC = 357,378,399,420,441,462,483,504,525,546,567,588,609
  299.                           630,651,722,743,764,785
  300.  
  301.  D = 4A : CC = 337 : VC = 358,379,400,421,442,463,484,505,526,547,568,589,610
  302.                           631,652,723,744,765,786
  303.  
  304.  D = 5A : CC = 338 : VC = 359,380,401,422,443,464,485,506,527,548,569,590,611
  305.                           632,653,724,745,766,787
  306.  
  307.  D = 6A : CC = 339 : VC = 360,381,402,423,444,465,486,507,528,549,570,591,612
  308.                           633,654,725,746,767,788
  309.  
  310.  D = 7A : CC = 340 : VC = 361,382,403,424,445,466,487,508,529,550,571,592,613
  311.                           634,655,726,747,768,789
  312.  
  313.  D = 1B : CC = 341 : VC = 362,383,404,425,446,467,488,509,530,551,572,593,614
  314.                           635,656,727,748,769,790
  315.  
  316.  D = 2B : CC = 342 : VC = 363,384,405,426,447,468,489,510,531,552,573,594,615
  317.                           636,657,728,749,770,791
  318.  
  319.  D = 3B : CC = 343 : VC = 364,385,406,427,448,469,490,511,532,553,574,595,616
  320.                           637,658,729,750,771,792
  321.  
  322.  D = 4B : CC = 344 : VC = 365,386,407,428,449,470,491,512,533,554,575,596,617
  323.                           638,659,730,751,772,793
  324.  
  325.  D = 5B : CC = 345 : VC = 366,387,408,429,450,471,492,513,534,555,576,597,618
  326.                           639,660,731,752,773,794
  327.  
  328.  D = 6B : CC = 346 : VC = 367,388,409,430,451,472,493,514,535,556,577,598,619
  329.                           640,661,732,753,774,795
  330.  
  331.  D = 7B : CC = 347 : VC = 368,389,410,431,452,473,494,515,536,557,578,599,620
  332.                           641,662,733,754,775,796
  333.  
  334.  D = 1C : CC = 348 : VC = 369,390,411,432,453,474,495,515,537,558,579,600,621
  335.                           642,663,734,755,776,797
  336.  
  337.  D = 2C : CC = 349 : VC = 370,391,412,433,454,475,496,516,538,559,580,601,622
  338.                           643,664,735,756,777,798
  339.  
  340.  D = 3C : CC = 350 : VC = 371,392,413,434,455,476,497,517,539,560,581,602,623
  341.                           644,665,736,757,778,799
  342.  
  343.  D = 4C : CC = 351 : VC = 372,393,414,435,456,477,498,518,540,561,582,603,624
  344.                           645,667,737,758,779
  345.  
  346.  D = 5C : CC = 352 : VC = 373,394,415,436,457,478,499,519,541,562,583,604,625
  347.                           646,668,738,759,780
  348.  
  349.  D = 6C : CC = 353 : VC = 374,395,416,437,458,479,500,520,542,563,584,605,626
  350.                           647,669,739,760,781
  351.  
  352.  D = 7C : CC = 354 : VC = 375,396,417,438,459,480,501,522,543,564,585,606,627
  353.                           648,719,740,761,782
  354.  
  355.   To summarize how a cellular call is made: A mobile unit wishing to make a 
  356. call will go off-hook and then transmit the digital source and destination
  357. codes  on a control channel (used to set-up and monitor the call), and are
  358. just strong enough to reach the base station in the local cell. Upon getting
  359. this data, the base, thru its control freq (same channel), validates the
  360. mobile unit.
  361.   The base station then fowards a message to the central switching office on
  362. a land line, which in turn sends the paging signal to all cells in search of
  363. the second mobile unit whos number has been dialed. When the destination unit
  364. is finally found, it responds to the paging signal by transmitting an 
  365. acknowledgement code to its local base station on a control channel.
  366.   The switching center then assigns a pair of unused freqs (called the, 
  367. "channel Pair") to each of the unit for actual voice commo to take place.
  368. These channel pairs are not neccesarily the same for the respective cells
  369. that each mobile unit is in. These freqs are also relayed thru the base
  370. stations and to the central switching office.
  371.   When a unit moves into another cell, things get very interesting. Upon
  372. entry into another cell, the mobile unit must transmit thru a new base
  373. station. An automatic handoff to the new base station is carried out by
  374. another exchange of data thru the control channel.
  375.   Termination of the call is a simple matter. When the call ends,ON-hook
  376. signals are exchanged via the control channels between the mobile unit and
  377. the base station. The voice channels are then cleared.
  378.  
  379.   IV.  THE CELL & IT'S STRUCTURE
  380.  
  381.   The cellular phone system uses a "honeycombed" hexagonal cell architure.
  382. Each of the cell types (A-G) differ from each other only in the freqs. 
  383. allocated for them. This represents how a cellular system might be laid out.
  384. Cells A and B never share a common border. Neither do B and C, A and G,
  385.  etc. Cells that are next to each other are never assigned adjacent freqs.
  386. They always differbu\y at least 60 KHZ. To track a mobile phone as it 
  387. changes cells, lets put the mobile in a B cell. When the mobile switches
  388. freqs. you know that it could only go to a D, E, F, or G cell because A and
  389. C have adjacent freqs. The two tables below will help you determine which
  390. Channel cell can go next to each other. You can contact your local cellular
  391. phone company and see if they have any maps of the cell available in your
  392. area (please get a copy for us also). They're not obligated to give you maps
  393. but it's worth the try.
  394.  
  395.  ADJACENT CELLS
  396.  --------------
  397.  Cell        Adjacent cells
  398.  
  399.   A             C,D,E,F
  400.   B             D,E,F,G
  401.   C             E,F,G,A
  402.   D             F,G,A,B
  403.   E             G,A,B,C
  404.   F             A,B,C,D
  405.   G             B,C,D,E
  406.  
  407.   The only fundamental point of cellular technology actually agreed upon to
  408. date is that a given service area will be divided into identical adjacent 
  409. cells with no overlaps and no gaps. The hexagon is the standard cell 
  410. patteren. At the center of an individual cell is a base station which is 
  411. conected via land  line to a local mobile phone switching office. Certain 
  412. freq bands are assigned to certain cells, but not shared with adjacent cells
  413. to avoid mutual interference.
  414.   In 1979, AT&T began test marketing its version of a cellular phone system
  415. in Chicago. This system is call the Advanced Mobile Phone System (AMPS)
  416.   Some 2100 sq miles of the metro Chicago area are divided into 10 cells to 
  417. serve about 2000 customers. Full duplex is possible by using a pair of one
  418. way channels separated by 45 MHZ to connect the mobile units with the base
  419. stations. The RF range is 825-890 MHZ and normal narrow band  FM is used to
  420. transmit voice. Hand-off to adjacent cells is accomplished by monitoring
  421. signal strengths. When the central switching  office  determines that a new
  422. base station receives the mobile signal better than the previous one, the 
  423. switching  office signals thru the voice channel for the mobile phone to
  424. switch to a new channel. Commo distruption thru the switching process is 
  425. typically 50 milliseconds.
  426.   As with IMTS, there is the possibility of phreaking calls with IMTS or AMPS
  427. simply by monitoring the control channels since they are in dial pulse form.
  428. After you have  a nice set of numbers, you will neeed a transmitter of 
  429. sufficient strenght to reach the base station (unlicenced transmitter of
  430. course!). Duhh
  431.   Many regulatory and implementation issues remain unsolved. Modulation issues
  432. are the biggest problem to be solved. Single sideband AM, narrow band FM,
  433. digital and spread-spectrum techniques are all being considered. If you have
  434. any info that may be able to break this down for fellow hackers/phreaks 
  435. please leave me mail.
  436.  
  437.    V. EQUIPMENT DESCRIPTION
  438.  
  439.   Most mobile phones have two primary pieces of equipment. These are the 
  440. transceiver (transmitter-receiver pair) and the control head.
  441.   The transceiver is usually a metal box with three connectors. They usually
  442. contain two circuit boards. One is the transceiver unit itself, and the other
  443. is a logic board consisting of a uP, ADC and DAC, and control logic. The 
  444. transceiver is usually mounted in the trunk or sometimes under the hood, and
  445. is connected to both the ignition switch and car battery. A control/audio
  446. (shielded) links the equipment together.
  447.   The control head is a touch-tone phone handset with the extended keypad,
  448. alphanumeric display and controls (i.e. mike, volume). Usually there is a
  449. separate speaker installed  in the cradle for on-hook dialing, call progress
  450. monitoring and speakerphone operation. If the CMT has a speaker phone option
  451. a small mike is usually  mounted to the sun visor. Some cellular phones are
  452. voice-activated. If battery-operated, this saves the battery and also makes
  453. answering the phone easier. The control head and cradle assembly is usually
  454. bolted to the hump between the two front seats for security purposes.
  455.   Most early CMT's use the AMPS bus (developed by AT&T) which uses a system
  456. of 36 wires in a rather bulky and stiff control/audio cable. Some makers now
  457. use their own bus, such as Novatel's serial bus, which specifies a thin cable
  458. consisting of a few wires, and is much easier to install and dependable to 
  459. use. In almost all cases, a CMT is powered by regulated 12 volts from standard
  460. 13.8 volt car battery. At least 5 amps (continuous) is required.
  461.   Mobile cellular antennas are usually short (less than one foot long),
  462. vertically-mounted stiff wire with a few turns in the middle that acts as a
  463. phasing coil in a 5/8-wave configuration. The antenna is generally mounted
  464. either thru a hole in the roof or at the top of the rear winshield using
  465. silicone rubber cement with conductive plates on both sides to pass the RF
  466. thru the glass (some RF losses result from this method but you don't have to
  467. maim your vehcle). A 50 ohm coax cable (ex: RG-58/U) links the antenna to the
  468. transceiver with a male TNC type UHF connector. A ceramic duplexer permits
  469. the transmitter and receiver to share the same antennas at the same time.
  470.   CMT roof-mounted monopole antennas are designed to work with the ground
  471. plane (ie: the vehicle's body, if metal). However, for fixed (ie: home-base)
  472. use, an "extended-feed" or voltage-fed coaxial antenna (requires no ground
  473. plane) can be used. A capped PVC pipe makes an ideal rooftop housing for 
  474. this type of antenna-both weatherprofing and concealing it. Note that altho 
  475. cellular systems are designed for inefficient antennas, for fixed use it is
  476. preferred that you use the best antenna you can get.
  477.   Interfacing audio devices (ex Blue Boxes, other tone generators) to a CMT
  478. can be done by coupling the device's output thru an audio coupling
  479. transformer wired across the control head's mike lines. A 600-ohm audio
  480. coupling antenna is availble from Radio Shack (273-1374). Be sure to DC
  481. isolate the phon circuity by wiring the transformer in series with a
  482. non-polarized capacitor of at least 1.0 uF and 50 volts. If you can locate
  483. the bus that carries the audio, then coupling across it is preferred.
  484.   An acoustic modem can be coupled to a CMT eithrer thru the mouthpiece or by
  485. connecting the mike and speaker wires to those in the control head or bus 
  486. lines. Any direct-connect devices (ex: answering machines, modems, standard
  487. phones, etc) can be connected to a CMT thru the AB1X cellular interface 
  488. made by : Morrison & Dempsey (818 993-0195). This expensive device is 
  489. basically a 1-line PBX that connects between the transceiver and control
  490. head and provides an RJ-11C (quick-connect) jack that accepts any direct-
  491. connect phone accessory. It recognizes both touch-tone and  pulse dialing,
  492. provides the ringing voltage and generates dial and busy tones as needed.
  493.  
  494.  VI.   GENERAL PHREAKING INFO
  495.        ----------------------
  496.  
  497.  Some Definitions:
  498.  
  499. * Control Channel: The channel the phone and cell base first communicate on.
  500. * Reverse Control Channel: The opposite freq, 45MHZ lower then the control
  501.                            channel. This is where the mobile unit is.
  502. * Voice Channel: The channel you are assigned by the switch to start the call
  503.                  after the exchange  of suscriber data.
  504. * Revese Voice Channel: Again 45 MHZ lower.
  505. * Switch: The computer that places the calls, and takes and receiver data
  506. from the subcriber or from the PSTN. (Pubic Swithced Telephone Network). That
  507. should get things started. A suscriber picks up his handset to place a call.
  508.  
  509.  
  510.     QUESTIONS AND ANSWERS
  511.     ---------------------
  512.  
  513.  The following  questions & answers were taken from THE SOURCE BBS a.k.a.
  514.                      THE NEW YORK HACK EXCHANGE
  515.  
  516. BCOM>  I want to get into cellular phone phreaking but I dont know anything so   
  517.        I'm depending on you guys to help me out from the VERY basics!
  518.        What is cellular; a cellular phone?
  519. RAVEN> A 800 MHZ radiotelephone, running 3 watts, with the ability to change
  520.        channel on computer command from the central swith. This happens when
  521.        you travel thru the service area and your signal becomes stronger at a
  522.        neighboring cell base station.
  523.  
  524. BCOM>  They are marketed as a high security device with no possibility of
  525.        anyone making a phoney call & charging it to someone else, how can it
  526.        be phreaked?
  527. RAVEN> An understanding of the phone revels that every time a call is made, 
  528.        the phone number, an electronic serial number, and oother data is sent
  529.        to the switch. If you were to listen to the opposite side of the 
  530.        control channel as the cell is being "set up" you would hear this data
  531.        being transmitted to the switdch in NRZ (Non-Return to Zero) code.
  532.        All one has to do, is record this info and program the bogus phone to
  533.        these params, and then a free call is possible thru the switch.
  534.  
  535. BCOM>  Has anyone done this yet?
  536. RAVEN> HELL YEA! about 6 months after the first cellular phone system was
  537.        "turned-up", a technician programmed a Panasonic telephone with a
  538.        NEC ESN (Electronic Serial Number). And there have been many other 
  539.        cases since then. With the popular ROM programmers avaible today,
  540.        almost any NAM (NUmeric Assignment Module) can be duplicated or 
  541.        copied with changes. (The NAM is the heart of the billing info and
  542.        contains the phone number but not the ESN) The most popular integrated
  543.        circut for NAMs is the 74LS123.
  544.  
  545. BCOM>  Sounds like a lot of trouble, is there easier ways to get service?
  546. RAVEN> SURE, the cellphone companies have been their own downfall, In an 
  547.        effort to market their wares as a universal service. Nobody can tell
  548.        if a phone from another city (that has a roaming agreement) is valid
  549.        until its too late. The only thing they could do after finding out is
  550.        block any call with bad ESN because as we know, the phone number is
  551.        easy to change, but the ESN is not.
  552.  
  553.  
  554.   So here's a likely scenario====> A roamer identifying itself as a number
  555. from a Chicago non-wireline accesses a cellular system in Dallas. An operator
  556. may intervene but you can usually BS or "Social Engineer" them as long as
  557. you know the data you have programmed into your phone. Then you make calls
  558. just like your a local user. If your found out, you change the number to
  559. another, and see if that works.
  560.   The phone is locked onto the strongest control channel in the area by a 
  561. computerized scanner in the phone. As the user drives thru the service, a
  562. computer constantly picks out the strongest control channel and stays on it,
  563. altho more than one cell site can actually be herd. The subcriber enters
  564. the number to call on the keypad, and presses the "send" button.
  565.  At this time the following data is transmitted to the cell  site by the 
  566. mobile. The callers ESN, his home system number (two digits), his mobile's
  567. area code and phone number, and the called number. The cellular switch now
  568. picks up an outgoing line, places the call for him and tells the mobile unit
  569. to switch to a voice channel. The  two ends are linked in the central switch
  570. and the two parties are connected up in about 3 seconds.
  571.  I have purposely over-simplified the whole process to point out the moment
  572. of truth. The mobile's ESN and phone number and data in the switch must match
  573. or no go. This is required for billing purposes. If one had the ESN and the
  574. mobile phone number, he could then calll anytime anyplace without fear of a
  575. trace - let alone a bill. The ideal setup would let you listen to the reverse
  576. control channel, record and display herd working numbers and ESN's, and 
  577. recall them as one needs them to make calls.
  578.  This would be it but we are not quite there yet. But some hard work has 
  579. already been done for us. All the aforementioned codes are sent in hex, in
  580. NRZ code (phancy term for phase shift keying), but the phone already has, for
  581. example, a NRZ receiver and transmitter built right into it. All that has to 
  582. be done is to have a receiver on the reverse control channel, recover the 
  583. other users data and save it or at least print it out.
  584.  The mobile radio data book show some good technical info on the systems used
  585. and chip part numbers for the NRZ stuff. For example, at least one cellular
  586. phone maker uses the 8085 chip for the control head functions - a popular
  587. and well understood chip by many.
  588.  Most cellular phones include a crude password system to keep unauthorized 
  589. users from using the phone - however, dealers often set the password (usually
  590. a 3 to 5 digit code) to the last four digits of the mobile phone or there
  591. home phone. If you can find it somewhere on the phone then your in luck!!
  592. If you can't find it then I guess you gotta hack it. It souldn't be that 
  593. hard since most people aren't smart enogh to use something besides "11111",
  594. "12345", or whatever, it will be like Hacking a VMB.
  595.   If you want to modify the chip set in the cellular phoneyou got, there are
  596. two chips (of course this depends on the model and maker - your may be
  597. different) that will need to be changed - one installed by the maker usually
  598. eepoxied in with the phone's ID number, and one installed by the dealer with
  599. the phone number, and possible the security code. To do this youll obviously
  600. need an EPROM (Erasable Programmable Read-Only Memory) burner, as well as the
  601. same type of chips used in the phone (or a friendly & unscruplus dealer!).
  602.  As to recording the numbers of other mobile phone customers and using them;
  603. as far as I know it is quite possible, if you got the equipment to record and
  604. decode it. The cellular system would possibly freak out if two phones (with
  605. valid ID/phone number combinations) were both present in the network at once,
  606. but it remains to be seen what will happen.
  607.   The MIN is the Mobile Identification Number (includes the phone number, and
  608. it is stored on the NAM ROM). Stolen and spoofed ESN's and MINs are good for
  609. about a month. Once a bad MIN is revealed, the legit user's MIN is changed
  610. by the Mobile Telephone Switching Office (MTSO) and they arrange for a new
  611. NAM ROM to be installed in the users legit unit. Of course MTSO keeps a 
  612. database of all legit,illegit and deadbeat MIN/ESN pairs. However, the MTSO
  613. will allow a illegit MIN/ESN pair to continue to function beyond its
  614. discovery in hopes of discovering who the phreaks are.
  615.   One of the properties of cellular phone system is that the transmitter 
  616. freqs may be changed or "hopped" in the constant effort to allocate freqs.
  617. Because of freq. hopping it is very difficult triangulate a CMT using
  618. standard RF directional finding methods. It is known that a directional
  619. antenna randomly aimed at cellsite repeaters will confuse directional finding
  620. equipment being used by them that is synced to their freq. hopping scheme.
  621.  
  622.       ROAMING
  623.  
  624.   Since cellular technology often results in physical seperation between the
  625. caller and-or callled party from landlines, because it offers thousands of
  626. lines to choose from, because freq. hopping occurs, and because the caller
  627. and-or called party can be rapidly moving from one location to another,
  628. cellular phnes are the safest form of phreaking. "Roaming" is one form of
  629. cellular phreaking.
  630.   Roaming occurs when a CMT is used in a cellular system other than the one
  631. indicated in the NAMs SID. This is called "ROAMmode", and the ROAM  indicator
  632. on the control head will light. A CMT can roam into any system its home CPC
  633. has a roaming agreement with, and most  CPC's now have roam agreements with
  634. each other. Not every system pays attention to a "Roamer" from outside the
  635. system as cosely as they do a local suscriber. In their mad rush to offer 
  636. cellular as "universal" service, they screwed up. If there's no roam 
  637. agreement, the MTSO will transmit a recorded message to the CMT with some
  638. instructions to call the CPC, and gives his name ,MIN,ESN and credit card 
  639. number. All roamed calls will then be completed by the MTSO and billed to the
  640. credit card account. This procedure is becomming less common as more roam
  641. agreements are made.
  642.    Usually, CPC can only determine if a roamer came from a system with which
  643. it has a roaming agreement -  nit the creditworthiness of the roamer.
  644. Consequently, many CPCs have been ripped-off by roamers who've been denied
  645. service on their home system because they are deadbeats. Once the home CPC
  646. is billed for the roaming services provided by the remote CPC to the phreaker
  647. or deadbeat, it will notify the same to add that ESN/MIN pair to their
  648. MTSO's "negative verify" file to prevent future abuses.
  649.    Several independent firms are establishing systems software and data
  650. networks to allow POSITIVE ROAMER VERIFICATION (PRV), which allow near real
  651. time roamer validation bt sharing data between CPCs. Until PRV becomes
  652. universal, even bogus ESNs and MINs can roam if they follow the standard
  653. format, alto some CPCs are sharing roam data on a limited basis to prevent
  654. this. Even with PRV, ESN/MIN pairs that are spoofed to match valid accounts
  655. will be accepted both by thier home CPC and roamed CPCs, until the legit
  656. customer complains about the calls he didn't make. And even without PRV,
  657. some CPCs automatically share ESN and MIN data. This frequently occurs 
  658. between the CPCs in major cities and those in their bedroom communities.
  659.   To call a roaming CMT, the caller must know which system that unit is in,
  660. which can be a real trick since he may be on the road at the time. He then
  661. calls the CPC's roaming number. Roaming numbers vary but usually are in the
  662. phone number format (with area code, with the last four digits being 
  663. "ROAM", and with the 3 middle digits being the remote CPC's exchange). 
  664. When that number is called, a dial or ready tone is returned, after 
  665. which the roaming CMT's full MIN is entered in Touch-Tone. After several
  666. seconds, the CMT will ring or the caller will hear a recording stating
  667. that the roaming CMT is out of range or busy. Telocator Publications 
  668.  (202) 467-4770 publishes a nationwide roaming directory for travellers
  669. with celluar phones.
  670.  For example: I access the Cleveland Ohio Cellular 1's Ericcson switch
  671. and I tell them by my NAM INfo that I'm a roamer from NYNEX in New York
  672. City. Cleveland will let me make the call, bacause it bills back to NYC
  673. for the number of minutes  I use. If the NYC number is bogus , the call
  674. goes thru anyway, and the bill doesn't go anywhere. They do know the 
  675. exchange data for NYC (that's on a chart) so you can't tell them a wrong
  676. system number (two digits) but one that a valid roamer would have from
  677. his area. This is not too hard to figure out, call some of their stupid
  678. sales idiots some time and see what they let out of the bag.
  679.  
  680.  The system number for the foreign exchange, NYNEX in Buffalo is 56,
  681. Chicago nonwireline is 01, and Buffalo nonwireline is 03. All wirelines
  682. are even numbers and all nonwirelines are odd. The first three digits
  683. of the mobile number: NYNEX Buffalo 863-XXXX. Buffalo Non-wirelines
  684. are 861-XXXX and 690-XXXX. 
  685.   You dont have to be a rocket scientist to figure out the local numbers
  686. for your area, again by conning the sales people. Until the CPC's get a
  687. cellular clearinghouse to validate roamers in real time, this method 
  688. will work out fine. It will be awhile before it becomes routine to look
  689. up a roamer. There's simply to many to look up every time service is
  690. wanted. And this problem is increasing because of the expanding use of
  691. cellular phones.
  692.   If a cellular phone and its antenna happen to fall into your hands, you
  693. could re-nam it as a roamer and when you get it setup, make copies of the
  694. info with different suscriber numbers (the last 4 digits) and make free
  695. calls as long as you can.
  696.   THe Novatel series phone a re probaly the best radios to use to shut down
  697. a cell site completely as it has secret codes in the control head that
  698. allow you to bypass conventional switching protocols.
  699.   
  700.      NOTE
  701.   I hope that this file has lived up the all the boasting I've put into it.
  702. But if there are any problems with the freqs. or anything you can leave me
  703. mail on the bbs's I've listed. At this time Demon Roach and Nihilism dont
  704. carry my files but you can still leave me mail on those boards!
  705.  
  706.                                                    THE RAVEN
  707.                                                    +=======+
  708.  
  709.  
  710. =-=-=-=-=-=-=-=-=-=-=-=-=-=-==-=-=-==-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
  711.  
  712.  Thats it for part 1 but look out for part 2!!
  713.  
  714.  Part 2 will cover:  What's in a NAM, NAM reprogramming and how to
  715.  reprogram the following phones:  DIAMONDTEL MESA90X & MESA99X HANDHELD,
  716.   GATEWAY CP 900 HANDHELD, GENERAL ELECTRIC MINI II & MINI ,
  717.  MITSUBISHI 800 & 900 , MOTOROLA 8000H & ULTRA CLASSIC HANDHELD,
  718.   NEC P300 & NEC P9100 , NOVATEL PTR800 & 825 , OKI HANDHELD MODEL #750,
  719.    OKI HANDHELD MODEL #900 , PANASONIC EB3500 , COLT TRANSPORTABLE ,
  720.   DIAMONDTEL MESA 55 & MESA 95 TRANSPORTABLE , FUJITSU MOBILE PHONE ,
  721.    GENERAL ELECTRIC CARFONE XR3000 , GOLDSTAR SERIES 5000 MOBILE ,
  722.   MITSUBUSHI 555,560,600 , NEC M3700 SERIES MOBILE , NOKIA LX-11 & M-10 ,
  723.    NOVATEL 8305 TRANSPORTABLE CA08 SOFTWARE VERSION , OKI CDL400 ,
  724.   PANASONIC EB362 , PANASONIC EB500 OR TP-500 , RADIO SHACK 17-1002 & -1003 ,
  725.    AND GE CARFONE MODELS CF-1000, CF-2000 & CF-2500
  726.  
  727.  So look for it at a BBS near you!!
  728.  
  729.                                                        THE RAVEN
  730.                                                        +=======+
  731. ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
  732.  And as for all of you guys that wanted to know how I got money for most of
  733. the thing I have well all I can say is look for me next file:
  734.                          Check Fraud (ckfraud.txt)
  735.   to put it simple $32,000 in one day! And as you know...No BullShit!!
  736. -----------------------------------------------------------------------------
  737.  
  738.  Call the following BBS's to get my files 1st run!:
  739.  
  740.                      THE SOURCE (212) PRI-VATE
  741.                         RIPCO (312) 528-5020
  742.                      Bliterkrieg (502) 499-8933
  743.                    The Hawks Nest (201) 347-6969
  744.  
  745.       You can leave me mail on those boards and on the following:
  746.  
  747.                 The Demon Roach Underground (806) 794-4362
  748.                          Nihilism (517-546-0585
  749.  
  750. @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
  751.  HIGH TECH HOODS 1992 (c)opyright A-CORP. LATER.......THE RAVEN!
  752.  
  753. THE HIGH TECH HOODS
  754. & A-CORP PRESENTS... 
  755.  
  756.                         *%*%*%*%*%*%*%*%*%*%*%*%*%*%*
  757.                         *%       THE ULTIMATE      %*
  758.                         *% CELLULAR PHONE PHREAKS  %*
  759.                         *%     MANUAL PART 2       %*
  760.                         *%                         %*
  761.                         *%   WRITTEN BY THE RAVEN  %*
  762.                         *%     AND INTROSPECT      %*
  763.                         *%*%*%*%*%*%*%*%*%*%*%*%*%*%*
  764.  
  765.  
  766.  
  767.  
  768.                                                       THE RAVEN
  769.                                                       +=======+
  770.        THANKS TO THE FOLLOWING:  PEBBLES, BIT STREAM & THOMAS ICOM
  771. /\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\//\/\/\/\/\/\/\/\/\/\/\/\
  772.  
  773.      INDEX:
  774.  
  775.               I. WHAT'S IN A NAM
  776.              II. NAM/ESN REPROGRAMMING
  777.             III. ADVANCED REPROGRAMMING
  778.              IV. OBTAINING SYS. REGISTRATION DATA
  779.               V. REPROGRAMMING YOUR PHONE
  780.              VI. ------------------------
  781.  
  782. \/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\/\
  783.  
  784.  I. What's In A NAM
  785.  
  786.  First thing were going to start with is the NAM. The NAM is a PROM, A blank
  787. NAM costs about $5. Sometimes its more expensive depending on the operating
  788. temperature and packaging specifications.
  789.  Two flavors of NAM's are most commonly used for cellular phones. NEC Corp.
  790. uses the open collector (SIGNETICS p/n 82S23 or equivalent). All others use
  791. the tri-state (SIGNETICS 82S123 or equivalent). Blank NAMs are manufactured by
  792. Signetics, National Semiconductor, Monolithic Memorys, Fujitsu, Texas Instrum
  793. ents, and Advanced Microdevices. Blank NAMs can be purchased at your local
  794. electronic distributor's, thru the various parts sources advertised in 
  795. electronic magazines, and some radios come with a blank included.
  796.  The NAM contains the subscriber number and lock code, the home system ID and
  797. other system-required data. You may wonder how this info is arranged. The NAM
  798. is organized into 32 rows and 8 colums. It is 32 words of 8 bits each.
  799. (256 bits total). Starting  from top of the NAM (address 00), you will find
  800. the abreviation SIDH. This means "System Identifaction Number Home", a number
  801. starting at 0001 assigned by the FCC. Each market allows two systems. These
  802. two digits are even for the wire-line and odd for the non-wireline.
  803.  At address 03, we find LU (Local Use) on the left and MIN on the right, and
  804. they are usually set to 1. Locations with zeros are reserved. Going down the
  805. map, there's MIN1 and MIN2-the subscriber number and the area code respectively
  806. Dont try to read them from a raw printout of the NAM data, as they are 
  807. scrambled beyond recognition. The reason? THe way they are arranged is the way
  808. they must be transmitted to the cellular systems receivers. The programmer
  809. does this to make the radio's job easier.
  810.  Next is the station class mark, which identifies the class and power
  811. capability of the phone. The system will treat a handheld (low power) 
  812. differently than a standard 3-watt mobile.
  813.  
  814.  IPCH is the Inital Paging Channel. The radio listens for a page on this
  815. channel. Wirelines use 334 and non-wirelines use 333.
  816.  
  817.  ACCOLC (ACCess Overload Class) is designed for throwing off customers in the
  818. event of an overload. Thru neglect, this standard has been largly unused.
  819. (A Class 15 stationis supposed to be police, fire or military). Usually, It's
  820. a set to 0 plus the last digit of the phone number to provide random loading.
  821.  
  822.  PS (Preferred System). This is always 1 in a non-wireline and 0 in wireline.
  823.  
  824.  The Lock Code is about the only thing you can read directly by studying NAM
  825. data. The "spare" bit must be a 0 if the radio contains a 3-digit code.
  826. Because the number of clicks when you dial 0 on a (dial) phone equals 10,
  827. zeros in the lock code are represented by an "A"(the hexadecimal equiv of 10).
  828.  
  829.  EE, REP, HA and HF correspond to end-to-end signaling (DTMF tones, possibly
  830. as you talk), and REPeratory dialing (provision for 10 or more numbers in
  831. memory).
  832.  
  833.  Horn Alert and Hands Free. Like all options, they are 1 if turned on and 0 if
  834. turned off (all these numbers are in hex). They are supposed to be used by
  835. radio makers to store option switches. Usually 13 is used, 14 sometimes and 
  836. the rest less often.
  837.  
  838.  Last, you will find Cheksum Adjustment and Checksum. These numbers are 
  839. calculated automatically after the data has been edited for the NAM. The sum
  840. of all words in the NAM plus these last two must equal a number with 0's in
  841. the last two digits. The radio checks this sum and if it isn't correct the
  842. radio assumes the NAM is bad or tampered with. In the case radio refuses to
  843. operate until a legal NAM is installed.
  844.  
  845.                         THE ANATOMY OF A NAM
  846.                         --------------------
  847.  
  848.        MARK Defin.    most <-- BIT Significance --> least Hex
  849.        ------------------------------------------------------
  850.                              0     SIDH (14-8)            00
  851.                                    SIDH (7-0)             01
  852.        LU=Local use LU       000000        MIN            02
  853.                              00    MIN2 (33-28)           03
  854.                                    MIN2 (27-24)  0000     04
  855.                              0000  MIN1 (23-20)           05
  856.                                    MIN1 (19-12)           06
  857.                                    MIN1 (11-4)            07
  858.                                    MIN1 (3-0)    0000     08
  859.                              0000  SCM (3-0)              09
  860.                              00000 IPCH (10-8)            0A
  861.                                    IPCH (7-0)             0B
  862.                              0000  ACCOLC (3-0)           0C
  863.        PS=Perf Syst    0000000     PS                     0D
  864.                        0000    GIM (3-0)                  0E
  865.                        LOCK DIGIT 1    LOCK DIGIT 2       0F
  866.                        LOCK DIGIT 3    LOCK SPARE BITS    10
  867.        EE=End/End            EE    000000 REP             11
  868.        REP=Reprity     HA    000000              HF       12
  869.        HF=Handsfree          Spare Locations (13-1D)      13
  870.        HA=Horn Alt               contain all 0's          1D
  871.                 
  872.                              NAM CHECKSUM ADJUST.         1E
  873.                              NAM CHECKSUM                 1F
  874.  
  875.  II. NAM/ESN REPROGRAMMING
  876.  
  877.  The first step to using cellular phones is to obtain one. They can be 
  878. purchased new or used. Ham fests are one good source. Many people dump their
  879. cellular phones once they see just how expensive they are to operate. And of
  880. course the perception of being jerked promotes phreaking. 
  881.  First generation E.F. Johnson units are good choice as they are easy to 
  882. modify, use uniquely effective diveristy (dual antenna) receivers, and use the
  883. AMPS control bus, which means that several maker's control heads will work 
  884. with it. Another good choice is Novatel's Aurora/150. It uses a proprietary
  885. parallel bus and control head, but costs less, is rugged, and is also easy to
  886. work on. Also, all Novatel CMTs have built-in diagnostics. This allows you to
  887. manually scan all 666 repeater output freqs-great for scanning!
  888.  All cellular phones have a unique ESN. This is a 4-byte hex or 11 digit 
  889. octal number stored in the ROM soldered on the logic board. Ideally, it's 
  890. supposed to be never changed. Some newer cellulars embed the ESN in a 
  891. VLSI IC (Very Large Scale Integration Integrated Circuit) along with the units
  892. program code. This makes ESN mods very difficult at best. The ESN is also
  893. imprinted on the reciever boiler plate, usually mounted on the outside of the
  894. housing. When converted to octal (11 digits), the first 3 digits represents
  895. the maker while the other 8 identify the unit.
  896.  The other important ROM is the NAM. It contains the MIN (i.e. phone #,
  897. including area code), the lock code, and various model ID and carrier ID
  898. codes.
  899.  The lock code keeps unauthorized parties from using the phone. Some newer
  900. cellulars have no built in NAM and instead use an EEPROM, which allows a
  901. technician who knows the maintenance code to quickly change the NAM data thru
  902. the control head keypad.
  903.  WHen one attempts to make a cellular call, the transceiver first automatically
  904. transmits the ESN and NAM data to the nearest cellsite reapeter by means of
  905. the Overhead Data Stream (ODS). The ODS is a 10 kilobaud data channel that 
  906. links the cellular's computer to the MTSO, which then controls the phone's
  907. entire operation down to the selected channel and output power. If the MTSO
  908. doesn't recognize the received ESN/MIN pair as valid (sometimes due to RF
  909. noise), it issues a repeat order and will not process the call unit until a
  910. valid pair is received.
  911.  In most cities, there are two CPCs or "carries". One is the wireline CPC and
  912. the other is the non-wireline CPC. Both maintain their own MTSO and network
  913. (i.e: cell-site repeaters), and occupy separate halves of the cellular radio
  914. band. Non-wirelines use System A, and wirelines use System B. (the amenities
  915. that are avaible with most landline phone service - call waiting, caller ID,
  916. call-forwarding, 3-way calling,etc., are standard fair for most CPCs. However,
  917. they are usually applied for differently.)
  918.  For the cellular phreaker, the most diffuclt task is obtaining usable ESN/MIN
  919. pairs. Over the years,standard phreaker techniques have been employed for all
  920. types of phreaking to obtain the required info.  These includes trashing,
  921. using inside help,joining the staff,hacking them from known good ESNs and
  922. MINs (i.e: spoofing), con strategis, strong-arming, Bribing, blackmail, etc.
  923. (This is how The High Tech Hoods get them!).
  924.  The hacker knows that most CPCs do not turn off or keep track of unused MIN
  925. numbers. In fact, their general pattern is to start at the low numbers and 
  926. work their way up. WHen a number is cancelled, it is reassigned instead of 
  927. using a larger number.
  928.  The first places to look is the authorized cellular installers and service 
  929. centers in your area (see your Yellow Pages). They have on file a record of
  930. every cellular phone installed or serviced by them, including the ESN/MIN 
  931. pairs. Another place to focus on is the cellular CPC's customer service or
  932. billing department. These offices contain the ESN/MIN pairs often for
  933. thousands of cellular phones,  and hire low-paid people. Some cellular CPCs,
  934. installers and service centers will provide NAM system parameters upon
  935. request, and some will sell you NAM and ESN memory maps and schematics of a
  936. specific cellular phone model. And some will sell you service manuals
  937. (i.e: Motorola) that will describe the often easy method to program their 
  938. cellular phones.
  939.  The good phreak/hacker could interface the cellular phone's ADC circuit to
  940. his PC and hack out all of the valid ESN/MIN pairs he could possibly need.
  941. Since the ESN/MIN pair are transmitted from cellular phones (usually in an
  942. unencrypted form), these pairs can be obtained simply by scanning the cellular
  943. phone channels. Even if they are encrypted, the phreaker only will need to 
  944. reproduce the encrypted pair. In some areas, you can buy the ROMs right off
  945. the street - often by the same dealers who sell drugs and stolen property,
  946. etc. All it takes is a few discreet inquires. However, many get caught
  947. doing this because of police stings.
  948.  Once a valid ESN/MIN is obtained, it must be programed into the cellular 
  949. phone's ROM. Some cellular makers use different devices and memory maps, but
  950. the standard is the AMPS 16-pin 32x8 bit format and some ROMs have proprietary
  951. markings.
  952.  If the part number are different than those given and you can't find them in
  953. your data book, look for the IC maker's logo and call or write them for data
  954. sheets. If the IC's have proprietary markings, by looking at the external
  955. parts that are directly wired to them, one can often determine not only
  956. whether the IC is open-collector or tri-state, but also what the pin assingn-
  957. ments are, and sometimes the type of replacement IC to use.
  958.  The ESN ROM is then carefully desoldered from the logic board (first ground
  959. the soldering tip thru a 1 Meg-ohm resistor). Once, removed the IC can then be
  960. placed on a ROM reader/programmer or NAM programmer (bit editing mode). Any
  961. ROM reader/programmer that will burn a compatible ROM is usable, but a 
  962. dedicated NAM programmer has built-in software that takes out much of the
  963. aggravation. Using a non-NAM ROM reader/programmer, one searches for the memory
  964. locations that has the same number as ESN printed on the boiler plate. This 
  965. number will be immediatly followed by an 8-bit checksum determined by the 8
  966. least significant bits of the hex sum of the ESNs four bytes.
  967.  The old ESN data (now copied into the NAM programmer's RAM) is replaced by the
  968. new ESN and the updated checksum. A new blank and compatible ROM is inserted 
  969. into the ROM burner and burned with the new ESN data. Most cellular phreakers
  970. at this point install a Zero Insertion Force (ZIF) DIP socket into the logic
  971. board for this and any future ROM changes.
  972.  The NAM IC is usually already installed in a ZIF socket on the logic board.
  973. Similarly, its MIN is read by the ROM reader/programmer and a new ROM is
  974. burned with the new MIN and updated MIN checksum.  Altho one may wish to also
  975. update the CPC's system parameters, they can left the same if the same CPC
  976. is desired. To change the CPC'c designation, the last four MIN digits, the
  977. checksum and the exchange (if they use more than one exchange) are changed.
  978.  The more astute cellular phreaker of course can design and build his own NAM
  979. programmer/reader, ideally one interfaced to a PC. A more primitive approach
  980. is to interface two banks of hex thumbwheel switches to the sockets, altho
  981. a computer program would be very helpful to determine the proper switch
  982. settings. Thumbwheel switches allow you to make changes on the fly and they
  983. can be plugged in as needed, so if one is caught red-handed, it is difficult
  984. to prove intent and origin of phone call.
  985.  
  986.    III. ADVANCED REPROGRAMMING
  987.  
  988.  Your cellular phone contains a special memory which retains data about the 
  989. phone's individual characteristics, such as its assigned phone number, system
  990. identification number, (ID#) and other data that is necessary for cellular
  991. operation. This special memory is known as the NAM. You can program the phone
  992. yourself, if the phone has not already been programmed where you got it. You
  993. can also reprogram the phone yourself should you wish to change some of the 
  994. features already selected for the NAM.
  995.   The reprogramming of the NAM is performed after you have contacted your
  996. cellular system operator for the nessary data as described below. Enter the
  997. data received from your cellular system operator in the NAM Reprogramming
  998. Data Table before reprogramming  the NAM of your cellular phone. Incorrect
  999. NAM entries can cause your cellular phone to operate improperaly or not at
  1000. all. Your cellular phone can be reprogrammed up to three times. After that,
  1001. it must be reset at a Motorola-authorized service facility.
  1002.  Be sure you read this complete text before attempting to reprogram your 
  1003. phone!
  1004.  
  1005.  1. RE-PROGRAMMING FEATURES
  1006.  
  1007.   You must get seven pieces of data from the cellular system operator to 
  1008. allow you to reprogram the cellular phone. You provide the remaining data.
  1009. Write all of this  programming data on the NAM Reprogramming Data Table
  1010. provided in this text before implementing this procedure. Incorrect NAM
  1011. entries can cause your cellular phone to operate improperly or not at all.
  1012. The required data is:
  1013.   * System Identification (SID) Code (S-digits): Indicates youe home system
  1014.     Enter 0's into the left-most unsued positions. Provided by the system
  1015.     operator.
  1016.   
  1017.   * Cellular Phone Number (10 digits): Used in the same manner as a standard
  1018.     land-line phone. The mobile phone number and the Electric Serial Number
  1019.     are checked against each other by the cellular system each time a call
  1020.     is placed or recieved. Provided to you by the system operator.
  1021.  
  1022.   * Station Class Code (2 digits): This number is 06 or 14 for most personal
  1023.     or portable phones. Even though your phone has extended bandwith
  1024.     capability (832 channel capacity), the cellular system operator may
  1025.     require your station class code to remain 06. The code should be 14 if
  1026.     832 channel operation is allowed.
  1027.   
  1028.   * Access Overload Class (2 digits): Provided to you by the system operator.
  1029.  
  1030.   * Group ID Mark (2 digits): Provided to you by the system operator.
  1031.  
  1032.   * Security Code (6 digits): The six-digit security code allows the user to
  1033.     restrict his calls in certain ways and permits other advanced security
  1034.     measures. Refer to your phones operator manual for further details. 
  1035.     Select any 6-digit code that you will remember, but one that will not be
  1036.     easily guessed.
  1037.  
  1038.   * Unlock Code (3-digits): The 3-digit unlock code unlocks the phone after
  1039.     it has been locked. LOcking the phone allows you to prevent unauthorized
  1040.     usage. With many models, this number can be resued as often as desired.
  1041.     Check the users manual. Select any convenient 3-digit number.
  1042.  
  1043.   * Initial Paging Channel (4 digits): Use a leading 0 if required.
  1044.     (example: Channel 334 is entered as 0334.) Provided to you by the 
  1045.     system operator.
  1046.  
  1047.   * Option Bits (6 digits): This reprogramming step allows you to program
  1048.     six seperate features in one step. Each feature is either selected or
  1049.     cancelled by assigning a value of 1 or 0. The six individual single-
  1050.     digit features combine to form a six-digit code which is entered as one 
  1051.     step. If any of the features is to be changed , the entire six-bit word
  1052.     must be re-entered.
  1053.  
  1054.       DIGIT #1: Internal Speaker: This feature is normally selected by
  1055.                 entering 0. However, if you purchased the convertible
  1056.                 Accessory and it contains a seperate external/VSP unit,
  1057.                 cancel the internal speaker feature by reprogramming 1.
  1058.  
  1059.       DIGIT #2: Local Use: This feature is normally selected by entering 1.
  1060.                 Your system operator can tell you if you need to cancel
  1061.                 this feature by reprogramming 0.
  1062.  
  1063.       DIGIT #3: MIN Mark: This feature is normally not used and is assigned
  1064.                 a value of 0. To select use 1.
  1065.  
  1066.       DIGIT #4: Auto Recall: This feature is always 1.
  1067.  
  1068.       DIGIT #5: 2nd Phone Number: This feature is usually not used and 
  1069.                 assigned a value of 0.
  1070.  
  1071.       DIGIT #6: Diversity: This feature is always set at 0 for the portable/
  1072.                 personal phone used alone. If you have a convertible
  1073.                 accessory, and it has two external antennas, select this
  1074.                 feature by reprogramming 1.
  1075.  
  1076.  * Option Bits (3 digits): This step allows you to reprogram an additional
  1077.    three separate features in one step. Each feature is either selected or
  1078.    cancelled with the digit 1 or 0. The three individual single-digit
  1079.    features combine  to form a three-digit code which is entered as one
  1080.    step. If any of the features is to be changed the entire three-bit word
  1081.    must be reentered.
  1082.  
  1083.       DIGIT #1: Long Tone DTMF: Certian electronic devices such as answering
  1084.                 machines, are are not able to decode the normal DTMF tones
  1085.                 because the phone standard duration is too short. The Long
  1086.                 Tone DTMF allows access to answer machines and other similar
  1087.                 devices by transmitting the DTMF tone for as long as the key
  1088.                 is depressed. This feature  is normally not used and is 
  1089.                 assigned a value of 0. However you can select long tone DTMF
  1090.                 by reprogramminng 1.
  1091.  
  1092.       NOTE: Personal or portable models with a MENU key can more flexibly
  1093.             select and cancel this feature thru the menu. To allow Menu
  1094.             control of the function it must be cancelled in the NAM by 
  1095.             setting this bit to 0. If Long Tone DTMF is selected in the 
  1096.             NAM  with a 1 in this bit, it cannot be reversed thru the menu.
  1097.  
  1098.       DIGIT #2: Future use: This feature  is always set at 0.
  1099.  
  1100.       DIGIT #3: Eight-Hour Timeout (Convertible only): Personal or portable 
  1101.                 phones with the convertible accessory can normally be left
  1102.                 active in the vehicle for eight hours with the ignation cut
  1103.                 off. If the time out feature is selected the phone will turn
  1104.                 itself off after eight hours to preserve the vehicle's 
  1105.                 battery. This feature is normally selected by entering 0.
  1106.                 However, you can cancel this eight-hour time limit by 
  1107.                 entering 1.
  1108.   
  1109.    IV.  OBTAINING SYS. REGISTRATION DATA
  1110.  
  1111.  A cellular phone owner purchases services from a cellular system operator,
  1112. just as he would purchase land-line service (for standard phones) from the
  1113. local phone company. In cities with cellular coverage, the customer may have
  1114. the option of picking one or two possible cellular system operators.
  1115.  Before you can obtain a phone number you will have to supply your cellular 
  1116. system operator with your electronic serial number. All cellular phones 
  1117. contain a special Electronic Serial Number (ESN). The ESN uniquely identifies
  1118. your phone and provides a measure of protection against theft and fraud. The
  1119. ESN is an eight-charcter (numeric/hexadecimal) number printed on the box
  1120. your phone came in. Once you supply your electronic serial number to the 
  1121. system operator he or she will issue your phone number and supply the other
  1122. data required to reprogram the NAM. You should immediately enter this data 
  1123. on the NAM Programming Data Table found in this text.
  1124.  
  1125. V.   REPROGRAMMING YOUR PHONE
  1126.      ************************
  1127.  
  1128.  Determinig the initial Reprogramming Sequence:
  1129.  
  1130. The initial reprogramming steps include a sequence of keypresses which vary
  1131. depending on the type of cellular phone you have. The phone NAM can be 
  1132. reprogrammed from the personal or portable keypad. Determine from the 
  1133. Six-Keystroke table below which of the six keystroke sequence numbers to 
  1134. use on your phone, based on the type of keys present on the keypad.
  1135.  
  1136.   SIX-KEYSTROKE TABLE
  1137.  
  1138. Determining the sequence Number with Personal/Portable Keypad
  1139.  
  1140. PERSONAL/PORTABLE KEYPAD KEYS SEQUENCE
  1141. ======================================
  1142.  
  1143.             MENU AND FCN keys              6
  1144.             FCN key but no MENU key        1
  1145.             No FCN key                     2
  1146.  
  1147. If you have the convertible accessory, the phone NAM must reprogrammed from
  1148. the convertible handset. (MAke sure that the personal phone is disconnected
  1149. from the convertible accessory before reprogramming the convertible.) The 
  1150. handset type can be read from the label on the back of the handset. The 
  1151. keystroke sequence number is determinded from the KEYSTROKE SEQUENCE TABLE.
  1152. If you have the convertible accessory, and wish to use it seperately as a
  1153. atandalone mobile, you may obtain an additional phone number and reprogram
  1154. this into the convertible accessory at this time.
  1155.  
  1156. KEYSTROKE SEQUENCE TABLE
  1157. ########################
  1158. Determining the sequence Number with Convertible Handset
  1159.  
  1160.                 MODEL        HANDSET TYPE      SEQ.
  1161.                 -----        ------------      ----
  1162.                 3000         SCN2007A           6
  1163.                 6000         SCN2023A           2
  1164.                 6000X        SLN2020A           1
  1165.                 6000XL       TLN2659A           1
  1166.                 6800XL       TLN2733A           6
  1167.  
  1168.  Choose one of the six initial reprogramming sequences from the Initial
  1169. Sequence Table depending on the sequence number which you determined from
  1170. previous tables in this file.
  1171.  
  1172.  Initial Reprogram Sequence Table
  1173.  ++++++++++++++++++++++++++++++++
  1174.  
  1175. Seq. #  Sequence
  1176. 1  FCN, Security Code entered twice, RCL
  1177. 2  STO, #, Security Code entered twice, RCL
  1178. 3  Ctl, 0 + Security Code entered twice, RCL
  1179. 4  Ctl, 0 + Security Code entered twice, *
  1180. 5  FCN, 0 + Security Code entered twice, MEM
  1181. 6  FCN, 0 + Security Code entered twice, RCL
  1182.  
  1183. Security code is factory-programmed 000000.
  1184.  
  1185.  Initial Steps: Before you proceed with the reprogramming procedure, be sure
  1186. you have filled out the NAM Reprogramming Data Table herin:
  1187.         Step a: Turn on your cellular phone by pressing the Pwr or On/Off
  1188.                 button. The power indicator in the display will flash.
  1189.         Step b: Enter the proper keystroke sequence determined from the
  1190.                 Initial Sequence Table.
  1191.         Step c: The message, "01", will appear in the display to confirm the
  1192.                 activaction of the NAM reprogramming feature. It also 
  1193.                 indicates that you are at the first step in the NAM 
  1194.                 reprogramming sequence. If this message does not appear, it
  1195.                 may be due to one of these reasons:
  1196.  
  1197.   (1) The initial sequence may not have been entered quickly enough. The 
  1198. apperence of zeros in the display will indicate this. Press Clr and Try again.
  1199.   (2) The six digit Security Code may have previously been reprogrammed into
  1200. your cellular phone. If this happens to be the case, you must re-enter the
  1201. activation sequence using the assigned security code.
  1202.   (3) The maximum number of times that your cellular phone can be reprogrammed
  1203. from the keypad may have been reached.
  1204.   (4) The ability for your cellular phone to be reprogrammed from the keypad
  1205. may have been disabled or cancelled.
  1206.  
  1207.  REPROGRAMMING PROCEDURE: Reprogramming for a single phone number can be as
  1208. quick as a four-step process or may take up to 11 steps, depending on how
  1209. many programable features you wish to review or change. The phone always has
  1210. some data programed for each of the features, whether that data is standard
  1211. programming performed at the factory or data provided by someone who
  1212. programmed the unit previously. If, while you are reprogramming, you are 
  1213. satisfied with the value already programmed for a particular feature, simply
  1214. press * to move to the next feature. To perform the following steps, it is 
  1215. nessary for you to refer to the completed NAM Reprogramming Data Table. If 
  1216. you enter a digit incorrectly, press the Clr button to start again.
  1217.  
  1218.  REVIEWING of NAM REPROGRAMMING: Once you have completed the reprogramming
  1219. steps, review the data by repeatedly pressing *. Check to make sure that the
  1220. data reprogrammed matches what you wrote in the NAM Reprogramming Data Table.
  1221. Make any required changes.
  1222.  
  1223.  STORING the DATA: If you are reprogramming a single phone number, press SND
  1224. to store the programming data when you are satisfied that it is all correct.
  1225. A two-digit step number (01-11) must appear in the display in order for you 
  1226. to store the data. Press * until one appears and then press SND. Your
  1227. personal or portable cellular phone is now ready for normal use, if you are
  1228. reprogramming a single phone number.
  1229.  
  1230.  REPROGRAMMING the Second Phone #: If "012" appears in the display after you
  1231. have pressed SND to store the programming data for the first phone number, 
  1232. you are ready to repeat some or all of the ten steps, this time for a second
  1233. phone  number. The 01 indicates that you are ready to enter the System ID 
  1234. data (step 1) and the 2 indicates that you are reprogramming data for the
  1235. second phone number. The phone assigns the same security and lock codes 
  1236. (steps 7 and 8) for the second phone number and as so skips from step 6 to
  1237. step 9. There is no step 11 when reprogramming a second number.
  1238.  If "01 2" did not appear after reprogramming the first  phone number, and
  1239. you wish to reprogram a second number, either the second phone option has not
  1240. been selected (step 10) or your phone is not equipped for dual system 
  1241. operation. Once you have completed the reprogramming steps, review the data
  1242. by repeatly pressing *. Check to make sure that the data programmed matches
  1243. what you wrote in the NAM reprogramming Data Table. Make any required changes
  1244. Press SND to store the programming data when you are happy that it's all
  1245. correct. (A two-digit step number (01-10) must appear in the dispaly.)
  1246.  
  1247. Your personal or portable cellular phone is now ready for normal use.
  1248.  
  1249.  NAM REPROGRAMMING DATA TABLE
  1250.  ^^^^^^^^^^^^^^^^^^^^^^^^^^^^
  1251.  
  1252.  STEP        DESCRIPTION               # OF DIGITS             SOURCE
  1253. ---------------------------------------------------------------------------
  1254.   01        System ID #                    5 Digits           Sys Op
  1255.   02        Cellular Area Code             3 Digits           Sys Op
  1256.   03        Cellular Phone #               7 Digits           Sys Op
  1257.   04        Station Class Mark             2 Digits           Sys Op
  1258.       (Usually 14 for 832 chan., 12 for standalone mobile)
  1259.   05        Access Overld Class            2 Digits           Sys Op
  1260.   06        Group ID Mark                  2 Digits           Sys Op
  1261.   07        6-Digit Secur. Code            6 Digits           Phone Owner
  1262.   08        3-Digit Unlock Code            3 Digits           Phone Owner
  1263.   09        Initial Paging Chan.           4 Digits           Sys Op
  1264.            (Usually 0333 or 0334)
  1265.  
  1266. 10 Option Programming 6 Digits
  1267.  
  1268.  /--------------------Handset Internal 1 Dgit                Phone Owner
  1269.                       Speaker disable
  1270.                       If your install, has a seperate
  1271.                       External Spkr/VSP unit
  1272.                       The handset internal speaker
  1273.                       must be disabled.
  1274.                       1 = disabled, 0 = enabled.
  1275.                       This bit normally enabled.
  1276.  /--------------------Local Use 1 Digit   Sys Op
  1277.                       (Normally enabled
  1278.                        1=enabled & 0=disabled)
  1279.  /--------------------MIN Mark 1 Digit    Sys Op
  1280.                        normally disabled
  1281.                       1=Enabled, 0=disabled
  1282.  /--------------------Auto Recall  1 Digit   Always 1
  1283.  /--------------------2nd Phone #  1 Digit     Phone Owner
  1284.                       normally disabled
  1285.                       1=Enabled & 0=Disabled
  1286.  /-------------------Diversity    1 Digit
  1287.                       (based on the # of antenna ports
  1288.                       on your cellular phone
  1289.                       0 = standard 1 Ant. & 1 = Optional 2 ant.
  1290.  
  1291.  =====================Optional programming data entry
  1292.  
  1293.  11 Option Programming 3 Digits (Cont'd)
  1294.  
  1295.  /--------------------Long Tone DTMF  1 Digit   Phone Owner
  1296.                        (normally disabled)
  1297.                       1 = Enabled & 0 = Disabled
  1298.  /--------------------For future use    1 Digit   Always 0
  1299.  /--------------------Eight-Hr. Timeout  1 Digit   Phone Owner
  1300.                       (normally enabled)
  1301.                       1 = Disabled & 0 = Enabled
  1302.  
  1303. ======================Optional Programming Data Entry
  1304.  
  1305.  Step number - This number is the message that appears in the display during
  1306. reprogramming.
  1307.  
  1308.  
  1309.                         NAM REPROGRAMMING STEPS
  1310.                         -----------------------
  1311.  
  1312.  step     Keypad Entry       Display             Comments
  1313. ------   --------------    -------------     -----------------------------
  1314.  01                                            Ready for step 1
  1315.  1a           *          Current System ID     Factory Setting 000000
  1316.  1b     New Sy. ID         XXXXXXX              New system ID
  1317.  1c            *           02                    Ready for step 2
  1318.  2a            *           Curr. Area Code      Factory set at 111
  1319.  2b      New Area Code     XXX                   New Area Code
  1320.  2c            *           03                   Ready for step 3
  1321.  3a            *           Cur. Phone #          Factory Setting 1110111
  1322.  3b      New Phone #       XXXXXXX              New Phone #
  1323.  3c            *           04                    Ready for step 4
  1324.  4a            *           Cur. Station         Factory Setting 0/14 for
  1325.                            Class Mark           portable/personal or 12
  1326.                                                 for standalone Mobile.
  1327.  4b      New Station       XX                       New Station
  1328.           Class Mark                                 Class Mark
  1329.  4c            *           05                       Ready for step 5
  1330.  5a            *           Cur. Access               Cur. Access
  1331.                            Overload Class           Overload Class
  1332.  5b      New Access        XX                        New Access
  1333.          Overload Class                             Overload Class
  1334.  5c            *           06                       Ready for step 6
  1335.  6a            *           Curr. Group ID Factory set at 00
  1336.  6b      New Group ID      XX                        New Group ID
  1337.  6c            *           07                       Ready for step 7
  1338.  7a            *           Current Sec. Code Factory set at 000000
  1339.  7b     New Security Code  XXXXXX     
  1340.  7c            *           08                        Ready for step 8
  1341.  8a            *                      Current Unlock Code setting at 123
  1342.  8b       New Unlock Code   XXX                     New Unlock Code
  1343.  8c            *           09                        Ready for step 9
  1344.  9a            *                      Current Initial Factory Setting 123
  1345.  0334                                               PAGING CHANNEL
  1346.  9b       New Initial      XXXXXX                     New Initial
  1347.           Paging Channel                            Paging Channel
  1348.  9c            *           10                        Ready for step 10
  1349. 10a            *           Cur. Options             Factory Setting 010100
  1350. 10b       New Options      XXXXXX                    New Options
  1351. 10c            *           11                         Ready for step 11
  1352. 11a            *           Cur. Options              Factory Set. 000
  1353. 11b       New Option        XXX                       New Options
  1354. 11c             *          01 or 01 2                Ready for Review
  1355.                                                       to program.
  1356.  or
  1357. Second                      Phone Number
  1358.  
  1359. ============================================================================
  1360.  Now That conclude Part 2, Part 3 will the instructions for NAM reprogramming
  1361. for all the phones I listed in part 1. If you have any questions or comments
  1362. you can leave me mail on one of the following bbs's that I have listed below.
  1363.  
  1364.                                                            THE RAVEN
  1365.                                                            +=======+
  1366.  
  1367.  The following is a list of BBS's that recieve my files 1st run in order:
  1368.  
  1369.                   Installition Five (???) PRI-VATE NUP>KNOWLEDGE
  1370.                  BlitzKreig BBS (502) 499-8933 NUP>COLUMBIAN COKE
  1371.                        The Ripco  BBS (312) 528-5026
  1372.                        The Hawks Nest (201) 347-6969
  1373.  
  1374.  
  1375.