20 ago 2013

Vector de ataque: QRCode

Los QRCode han generado un nuevo vector que puede ser explotado por la ingeniería social. ¿Cómo? El vector de ataque para generación de QRCode permite al usuario crear este tipo de imágenes que pueden ser leídas e interpretadas por aplicaciones móviles. La ingeniería social mediante el uso de QRCode propone utilizarlos para publicar dichas imágenes en el mayor número de sitios, es decir de forma masiva, y conseguir que los, cada vez más, usuarios de smartphones puedan caer en la trampa. Generalmente, después de un QRCode malicioso se encuentra un sitio web, el cual también podría ser montado con SET con la opción “Website Attack Vectors”, y nuestro gran amigo Metasploit, siempre de fondo, en nuestras oscuras intenciones.

Ejemplificando el proceso

Utilizaremos la posibilidad de generar QRCode a través de SET, Social Engineer Toolkit, para enlazar a un usuario con un sitio web malicioso. El escenario montado es en una red local, donde todo dispositivo se encuentra controlado, habría que imaginar dicho escenario en Internet.

La imagen es almacenada en la ruta /pentest/exploits/set/reports/ en formato PNG. Esta imagen será colocada en otros sitios web o mandada vía mail para conseguir que las víctimas tras la lectura del QRCode se conecten al servidor web malicioso. Hay que recordar que existen lectores QRCode que no informan del recurso al que se conectan, es decir automáticamente intentan acceder al recurso al que apunta el QRCode. En la imagen se puede visualizar el QRCode generado gracias al uso de SET.

¿Lo leeréis? ¿Qué pone en el QRCode realmente? :D

2 comentarios:

  1. [...] martes hablamos sobre ingeniería social y los nuevos vectores de ataque que proporcionan las nuevas tecnologías. En esta ocasión hablamos de los QRCode y como [...]

    ResponderEliminar
  2. http://192.168.1.38

    ResponderEliminar