QRcode, attention danger !

Les flashcodes, appelés QRcode, envahissent le web et nos vies. Prudence, des pirates se penchent sur la manipulation des QRcode.

NDR : La première version de cet article a été diffusé en 2014. Il vient d’être rediffusé avec quelques mises à jour dont la vidéo diffusée par China News, fin août 2019, montrant un phishing à partir d’un vélo en libre service !

Un QRcode, un carré noir et blanc rempli de petits pixels. On retrouve ces QRcodes, baptisés aussi Flashcodes dans les journaux, la publicité… Il est possible de naviguer vers un site internet ; mettre l’adresse d’un site en marque-page ; faire un paiement direct via son cellulaire (Europe et Asie principalement) ; ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique) ; déclencher un appel vers un numéro de téléphone ; envoyer un SMS ; montrer un point géographique sur Google Maps ou Bing Maps ; coder un texte libre. Bref, toutes les possibilités sont ouvertes un QRcode.

Oui mais …

Des moyens divers et varier pour un pirate assez débrouillard afin de perturber ce système ingénieux, et cela de manière totalement anonyme. ZATAZ.COM a pu rencontrer un chercheur underground. Nous l’appellerons DBTJ. Il se spécialise dans la recherche de procédés détournés pour QRcode. « Avec mes collègues, explique-t-il à ZATAZ.COM, nous avons testés plusieurs cas, qui, hélas, se sont avérés efficaces.« 

Dans les cas que j’ai pu constater, naviguer vers un site internet et se retrouver face à un ransomware ; mettre l’adresse d’un site en marque-page (Shell) ; ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique. Bilan, derrière cette possibilité peut se cacher un vol de données. Une mise en place d’usurpation d’identité.

Des logiciels, clé en main

ZATAZ a pu se rendre compte qu’avec un simple générateur de QRcode (il en existe des dizaines sur la toile, NDLR), il est possible de rendre l’infection plus efficace, rapide et toujours indétectable (image ci-dessous).

Dans l’image suivante, l’attaque consiste à indiquer le lien d’un Trojan/Shell/Malware/Stealer ou Keylogger ou encore encore d’une application Backdoored ou Java. Le code QRcode est généré. Un QRcode actif … mais malveillant. « Nous avons réfléchis aux méthodes d’infections les plus débiles au plus élaborés, s’amuse la source de ZATAZ.COM. Envoyer le QRcode depuis votre téléphone ; la fonctionne SMS dans SET pourrait être intéressante et ne laissera pas de traces ; utiliser le QRcode sur de faux sites, ou encore des sites vulnérables XSS (via un iframe) ; fausses publicités ; remplacer les QRcode aperçus sur des affiches.« 

Ce dernier cas a été constaté par ZATAZ.COM en lieu et place d’un numéro d’urgence, d’une visite de site web d’un office de tourisme. Il suffit de coller un autre Flashcode, malveillant à la place de l’original. Effet garanti !

« Dans le cadre de la démonstration, nous avons infecté exactement 1.341 personnes d’une banlieue de Saint-Denis, et cela en seulement 14 heures, souligne le témoin de ZATAZ.COM. Avec une technique de SE (Social Engineering) d’une simplicité redoutable, nous avons fait des publicités contenant notre QRcode d’un jeu mobile gratuit que nous avons ensuite imprimé en plusieurs exemplaires et diffuser dans les lieux publics (gare/train – centre-ville). » ZATAZ.COM peut confirmer qu’après le test, les « pentesteurs » du QRcode ont effacé l’intégralité des informations collectées.

Bref, voilà de quoi regarder ces petits carrés noirs et blancs d’un œil nouveau … et plus suspicieux. Pour se protéger, des antivirus ou des outils tels que Barecode Scanner permettent de palier ce type d’intrusion. (Merci à Karim pour la piqûre de rappel en 2019)