Однажды зайдя к себе на сайт на нем на пол-экрана красовался баннер, которых там никогда не было. Сразу мысль что вирус на сайте или в телефоне. Логи фаервола показали, что при использовании интернета от мегафон, любой браузер при посещении страниц через не безопасное соединение (по http) лезет на IP адреса 195.208.38.27 (mobilebanner.ru) и 195.208.38.26 (radar.megafon.ru), принадлежащие CJSC "Megalabs".

Кто может подробно объяснить как это работает, что программа, вшитая в сим-карту заставляет браузер отправлять запросы на определенные адреса?

Ааа... что-то затупил, понял, наверное просто браузеру возвращается измененная страница со вставленным фреймом, скиптом, кодом баннера и т.п., ведущим на те адреса. Не было возможности в телефоне посмотреть хтмл код страницы.

Вспомнил, что тогда, когда это обнаружил, пробовал блокировать фаерволом доступ к сайту, который посещается, затем набирал в браузере адрес сайта, он разумеется не открывался, но браузер при этом все равно лез на на описанные выше IP адреса.
Сейчас уже нет возможности проверить, т.к. услуги мне заблокировали. Если у кого-то есть желание и соответствующий софт проверить, в том числе что там отсылается, думаю всем будет интересно.