QRcode, attention danger !

Les flashcodes, appelés QRcode, envahissent le web et nos vies. Prudence, des pirates se penchent sur la manipulation des QRcode.

NDR : La première version de cet article a été diffusé en 2014. Il vient d’être rediffusé avec quelques mises à jour dont la vidéo diffusée par China News, fin août 2019, montrant un phishing à partir d’un vélo en libre service !

Un QRcode, un carré noir et blanc rempli de petits pixels. On retrouve ces QRcodes, baptisés aussi Flashcodes dans les journaux, la publicité… Il est possible de naviguer vers un site internet ; mettre l’adresse d’un site en marque-page ; faire un paiement direct via son cellulaire (Europe et Asie principalement) ; ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique) ; déclencher un appel vers un numéro de téléphone ; envoyer un SMS ; montrer un point géographique sur Google Maps ou Bing Maps ; coder un texte libre. Bref, toutes les possibilités sont ouvertes un QRcode.

Oui mais …

Des moyens divers et varier pour un pirate assez débrouillard afin de perturber ce système ingénieux, et cela de manière totalement anonyme. ZATAZ.COM a pu rencontrer un chercheur underground. Nous l’appellerons DBTJ. Il se spécialise dans la recherche de procédés détournés pour QRcode. « Avec mes collègues, explique-t-il à ZATAZ.COM, nous avons testés plusieurs cas, qui, hélas, se sont avérés efficaces.« 

Dans les cas que j’ai pu constater, naviguer vers un site internet et se retrouver face à un ransomware ; mettre l’adresse d’un site en marque-page (Shell) ; ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique. Bilan, derrière cette possibilité peut se cacher un vol de données. Une mise en place d’usurpation d’identité.

Des logiciels, clé en main

ZATAZ a pu se rendre compte qu’avec un simple générateur de QRcode (il en existe des dizaines sur la toile, NDLR), il est possible de rendre l’infection plus efficace, rapide et toujours indétectable (image ci-dessous).

Dans l’image suivante, l’attaque consiste à indiquer le lien d’un Trojan/Shell/Malware/Stealer ou Keylogger ou encore encore d’une application Backdoored ou Java. Le code QRcode est généré. Un QRcode actif … mais malveillant. « Nous avons réfléchis aux méthodes d’infections les plus débiles au plus élaborés, s’amuse la source de ZATAZ.COM. Envoyer le QRcode depuis votre téléphone ; la fonctionne SMS dans SET pourrait être intéressante et ne laissera pas de traces ; utiliser le QRcode sur de faux sites, ou encore des sites vulnérables XSS (via un iframe) ; fausses publicités ; remplacer les QRcode aperçus sur des affiches.« 

Ce dernier cas a été constaté par ZATAZ.COM en lieu et place d’un numéro d’urgence, d’une visite de site web d’un office de tourisme. Il suffit de coller un autre Flashcode, malveillant à la place de l’original. Effet garanti !

« Dans le cadre de la démonstration, nous avons infecté exactement 1.341 personnes d’une banlieue de Saint-Denis, et cela en seulement 14 heures, souligne le témoin de ZATAZ.COM. Avec une technique de SE (Social Engineering) d’une simplicité redoutable, nous avons fait des publicités contenant notre QRcode d’un jeu mobile gratuit que nous avons ensuite imprimé en plusieurs exemplaires et diffuser dans les lieux publics (gare/train – centre-ville). » ZATAZ.COM peut confirmer qu’après le test, les « pentesteurs » du QRcode ont effacé l’intégralité des informations collectées.

Bref, voilà de quoi regarder ces petits carrés noirs et blancs d’un œil nouveau … et plus suspicieux. Pour se protéger, des antivirus ou des outils tels que Barecode Scanner permettent de palier ce type d’intrusion. (Merci à Karim pour la piqûre de rappel en 2019)

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ.COM / DataSecurityBreach.fr Travaille sur les sujets High-tech/Cybercriminalité/Cybersécurité depuis 1989. Gendarme réserviste - Lieutenant-Colonel (RC) ComCyberGend. Fondateur du Service Veille ZATAZ : https://www.veillezataz.com En savoir plus : https://www.damienbancal.fr

Articles connexes

  1. Pingback: ZATAZ QRCodes : pièges à internaute ? - ZATAZ

  2. RC Reply

    Petite typo sur Barecode :p

  3. Stéphane Reply

    Si je comprend bien : l’utilité de BarCode scanner c’est d’afficher le contenu du QR Code ?
    Donc n’importe quelle application du même type convient ou celle-ci a des fonctions particulières ?

  4. Cactux Reply

    De tous ceux que j’ai pu tester, QR droid est mon choix : rapide, libre, et il affiche bien l’adresse à l’utilisateur avant l’action du QR code.

  5. Ninjaw P.B. Reply

    Le danger est très relatif, un barcode c’est un lien, cet article pourrait donc être considéré comme « Attention aux liens sur lequel vous cliquez ». Ni plus ni moins. Même si certes, les usages particulier du barcode pourrait faciliter les très classiques tentatives de phishing très habituelles.
    Par contre parler d’antivirus dédié à cet usage c’est complètement idiot, le barcode n’apporte strictement rien de plus au phishing traditionnel d’un point de vue antivirus.

    • Damien Bancal Reply

      Bonjour,
      Très relatif à vos yeux mais ce type d’attaque est de plus en plus exploité. Les pirates n’agissent jamais pour le « fun ».
      En ce qui concerne l’antivirus, certains éditeurs ont intégré dans leur antivirus pour mobile un contrôleur de Flash code.

Répondre à Stéphane Annuler la réponse

*

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.