QRcode, attention danger !

Publié le 21-03-2012 à 00:33:45 dans le thème Téléphonie

Pays : International - Auteur : Albert Einstein

Pub : Tous les logiciels firewall gratuits disponibles sur Internet

Note des lecteurs: 2.6/5

INFO ZATAZ - Les flashcodes, appelés QRcode, envahissent le web et nos vies. Prudence, des pirates se penchent sur la manipulation des QRcode. Un QRcode, un carré noir et blanc rempli de petits pixels. On retrouve ces QRcodes, baptisés aussi Flashcodes dans les journaux, la publicité... Il est possible de naviguer vers un site internet ; mettre l’adresse d’un site en marque-page ; faire un paiement direct via son cellulaire (Europe et Asie principalement) ; ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique) ; déclencher un appel vers un numéro de téléphone ; envoyer un SMS ; montrer un point géographique sur Google Maps ou Bing Maps ; coder un texte libre. Bref, toutes les possibilités sont ouvertes un QRcode.

Des moyens divers et varier pour un pirate assez débrouillard afin de perturber ce système ingénieux, et cela de manière totalement anonyme. ZATAZ.COM a pu rencontrer un chercheur underground. Nous l'appellerons DBTJ. Il se spécialise dans la recherche de procédés détournés pour QRcode. "Avec mes collègues, explique-t-il à ZATAZ.COM, nous avons testés plusieurs cas, qui, hélas, se sont avérés efficaces." Dans les cas que ZATAZ.COM a pu constater, naviguer vers un site internet et se retrouver face à un code raquetteur ; Mettre l’adresse d’un site en marque-page (Shell) ; Ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique, bilan, derrière cette possibilité se cachait un vol de données et une mise en place d'usurpation d'identité. Déclencher un appel vers un numéro de téléphone ou envoyer un SMS. Le QRcode a permis une attaque DDoS/DoS. D'ailleurs, ce type d'attaque a très pu, par exemple, être utilisée dans l'affaire que ZATAZ.COM vous contait, la semaine dernière (Une entreprise française voit sa ligne fixe attaquée par 5 lignes portables). "Mais cela va encore plus loin, explique l'interlocuteur de ZATAZ.COM, Nous avons pu tester les trojans comme Zeus et SpyEye, par des techniques de MitMo (Man in the Mobile), SMS et QRcode. Réussite totale pour Iphone, HTC et même Android".

ZATAZ.COM a pu se rendre compte qu'avec un simple générateur de QRcode (il en existe des dizaines sur la toile, NDLR), il est possible de rendre l'infection plus efficace, rapide et toujours indétectable (image ci-dessous).

Dans l'image suivante, l'attaque consiste à indiquer le lien d'un Trojan/Shell/Malware/Stealer ou Keylogger ou encore encore d'une application Backdoored ou Java. Le code QRcode est généré. Un QRcode actif ... mais malveillant. "Nous avons réfléchis aux méthodes d'infections les plus débiles au plus élaborés, s'amuse la source de ZATAZ.COM. Envoyer le QRcode depuis votre téléphone ; la fonctionne SMS dans SET pourrait être intéressante et ne laissera pas de traces ; utiliser le QRcode sur de faux sites, ou encore des sites vulnérables XSS (via un iframe) ; fausses publicités ; remplacer les QRcode aperçus sur des affiches."

Ce dernier cas a été constaté par ZATAZ.COM en lieu et place d'un numéro d'urgence, d'une visite de site web d'un office de tourisme. Il suffit de coller un autre Flashcode, malveillant cette fois, en lieu et place de l'original. Effet malheureusement garanti. "Dans le cadre de la démonstration, nous avons infecté exactement 1.341 personnes d'une banlieue de Saint-Denis, et cela en seulement 14 heures, souligne le témoin de ZATAZ.COM. Avec une technique de SE (Social Engineering) d'une simplicité redoutable, nous avons fait des publicités contenant notre QRcode d'un jeu mobile gratuit que nous avons ensuite imprimé en plusieurs exemplaires et diffuser dans les lieux publics (gare/train - centre-ville)." ZATAZ.COM peut confirmer qu'après le test, les "pentesteurs" du QRcode ont effacé l'intégralité des informations collectées.

Bref, voilà de quoi regarder ces petits carrés noirs et blancs d'un œil nouveau ... et plus suspicieux. Pour se protéger, des logiciels come Norton Snap QR Code Reader permettent de palier ce type d'intrusion. Fonctionne sous iPhone et Android.