Actualité

 

QRcode, attention danger !

Publié le 21-03-2012 à 00:33:45 dans le thème Téléphonie

Pays : International - Auteur : Albert Einstein


Pub : Logiciels de sécurité et de protection Internet


Note des lecteurs: 2.6/5

INFO ZATAZ - Les flashcodes, appelés QRcode, envahissent le web et nos vies. Prudence, des pirates se penchent sur la manipulation des QRcode. Un QRcode, un carré noir et blanc rempli de petits pixels. On retrouve ces QRcodes, baptisés aussi Flashcodes dans les journaux, la publicité... Il est possible de naviguer vers un site internet ; mettre l’adresse d’un site en marque-page ; faire un paiement direct via son cellulaire (Europe et Asie principalement) ; ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique) ; déclencher un appel vers un numéro de téléphone ; envoyer un SMS ; montrer un point géographique sur Google Maps ou Bing Maps ; coder un texte libre. Bref, toutes les possibilités sont ouvertes un QRcode.

Des moyens divers et varier pour un pirate assez débrouillard afin de perturber ce système ingénieux, et cela de manière totalement anonyme. ZATAZ.COM a pu rencontrer un chercheur underground. Nous l'appellerons DBTJ. Il se spécialise dans la recherche de procédés détournés pour QRcode. "Avec mes collègues, explique-t-il à ZATAZ.COM, nous avons testés plusieurs cas, qui, hélas, se sont avérés efficaces." Dans les cas que ZATAZ.COM a pu constater, naviguer vers un site internet et se retrouver face à un code raquetteur ; Mettre l’adresse d’un site en marque-page (Shell) ; Ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique, bilan, derrière cette possibilité se cachait un vol de données et une mise en place d'usurpation d'identité. Déclencher un appel vers un numéro de téléphone ou envoyer un SMS. Le QRcode a permis une attaque DDoS/DoS. D'ailleurs, ce type d'attaque a très pu, par exemple, être utilisée dans l'affaire que ZATAZ.COM vous contait, la semaine dernière (Une entreprise française voit sa ligne fixe attaquée par 5 lignes portables). "Mais cela va encore plus loin, explique l'interlocuteur de ZATAZ.COM, Nous avons pu tester les trojans comme Zeus et SpyEye, par des techniques de MitMo (Man in the Mobile), SMS et QRcode. Réussite totale pour Iphone, HTC et même Android".

ZATAZ.COM a pu se rendre compte qu'avec un simple générateur de QRcode (il en existe des dizaines sur la toile, NDLR), il est possible de rendre l'infection plus efficace, rapide et toujours indétectable (image ci-dessous). 

 

Dans l'image suivante, l'attaque consiste à indiquer le lien d'un Trojan/Shell/Malware/Stealer ou Keylogger ou encore encore d'une application Backdoored ou Java. Le code QRcode est généré. Un QRcode actif ... mais malveillant. "Nous avons réfléchis aux méthodes d'infections les plus débiles au plus élaborés, s'amuse la source de ZATAZ.COM. Envoyer le QRcode depuis votre téléphone ; la fonctionne SMS dans SET pourrait être intéressante et ne laissera pas de traces ; utiliser le QRcode sur de faux sites, ou encore des sites vulnérables XSS (via un iframe) ; fausses publicités ; remplacer les QRcode aperçus sur des affiches."

 

Ce dernier cas a été constaté par ZATAZ.COM en lieu et place d'un numéro d'urgence, d'une visite de site web d'un office de tourisme. Il suffit de coller un autre Flashcode, malveillant cette fois, en lieu et place de l'original. Effet malheureusement garanti. "Dans le cadre de la démonstration, nous avons infecté exactement 1.341 personnes d'une banlieue de Saint-Denis, et cela en seulement 14 heures, souligne le témoin de ZATAZ.COM. Avec une technique de SE (Social Engineering) d'une simplicité redoutable, nous avons fait des publicités contenant notre QRcode d'un jeu mobile gratuit que nous avons ensuite imprimé en plusieurs exemplaires et diffuser dans les lieux publics (gare/train - centre-ville)." ZATAZ.COM peut confirmer qu'après le test, les "pentesteurs" du QRcode ont effacé l'intégralité des informations collectées.

 

Bref, voilà de quoi regarder ces petits carrés noirs et blancs d'un œil nouveau ... et plus suspicieux. Pour se protéger, des logiciels come Norton Snap QR Code Reader permettent de palier ce type d'intrusion. Fonctionne sous iPhone et Android. 

 

# Liens connexes

Apple Store - Snap

 

Conseiller cet article RSS ZATAZ Digger cet article ! Partager cet article avec mes amis sur Facebook ! Partager cet article sur del.icio.us

Derniers contenus

Fuite de données d'auditeurs de France Info

29-04-2014 à 12:55 - 0 commentaire(s)

Ip, mail et système informatique des auditeurs web de France Info accessibles aux pirates.

Problème de sécurité pour M6 Boutique

29-04-2014 à 12:10 - 0 commentaire(s)

Un bug sur le site web de M6 Boutique pourrait permettre de piéger les clients de cet espace de télé achat.

Le contrôleur Européen de la Protection des Données a des fuites

29-04-2014 à 11:50 - 0 commentaire(s)

Le site Internet du Gardien Européen de la protection des données personnelles a des problèmes avec sa propre sécurité informatique.

Watch Dogs : plusieurs failles corrigées pour Chicago

28-04-2014 à 14:19 - 0 commentaire(s)

Plusieurs importants sites de la Ville de Chicago corrigés via le protocole d'alerte de zataz.

66 pays visés par un code malveillant dédié aux SMS

28-04-2014 à 11:51 - 0 commentaire(s)

SMS Android OS FakeInst, un logiciel malveillant qui utilise vos SMS pour détourner de l'argent.

Anonymous lance le projet AirChat

28-04-2014 à 11:40 - 0 commentaire(s)

AirChat, un projet Anonymous qui souhaite permettre la diffusion de données numériques par la bande FM.

Google rembourse des utilisateurs d'Android

28-04-2014 à 11:16 - 0 commentaire(s)

Un virus informatique cachée dans une application Android ? Google s'excuse et rembourse les internautes piégés.

Piratage d'une Université pour fabriquer des bitcoins

28-04-2014 à 11:02 - 0 commentaire(s)

Des pirates informatiques ont compromis cinq serveurs de l'Université de l'Iowa pour installer une fabrique de bitcoins.

Sur le même thème : Téléphonie

Un bootkit Android aurait piégé 350.000 smartphones

L'année 2014 s'annonce chargée pour les smartphones sous Android. Un code malveillant russe piége 350.000 téléphones portables.

Espionnage des iPhones depuis 2008

La NSA serait capable d'espionner les iPhones, à distance, et cela depuis 2008.

Téléphone chiffré du Ministère des Affaires étrangères en accès libre

Un article dans le magazine Challenge affiche le numéro d'un téléphone chiffré du Ministère des Affaires Etrangères.

Téléphone sécurisé pour Bull

Hoox, le nouveau téléphone portable sécurisé de chez Bull. Un smartphone sous Android.

Androïck Ver. 2.0 reconnu par l'OWASP

Un outil français pour la sécurisation d'Android sélectionné par l'OWASP mobile security project.

Sim Box : fraude téléphonique à 30 milliards de dollars

Un réseau de piratage téléphonique démantelé. Un trafic de cartes sim qui aurait coûté 30 milliards de dollars.

Phreaking : 15.000 euros de piratage pour Pessac

La commune de Pessac vient de goûter aux joies des phreakers, les pirates informatiques spécialisés dans le piratage téléphonique.

Vol de données possibles facile avec iOS7

Une vulnérabilité découverte dans iOS 7 permet l'accès facile à vos photos, mails, Twitter, Facebook.

 


Syndication RSS

nabaztag

  • http://www.wikio.fr
  • netvibes
  • NewsGator Online
  • Rojo
  • Bloglines
  • Google

ZATAZ mobile et PDA