QR-кодовете се превръщат в инструмент за хакерите: как да избегнем попадането в капана

Обикновен квадрат от черни пиксели постепенно се превръща в инструмент за хакерство. Експерти от Unit 42 в Palo Alto Networks показаха как QR-кодовете се използват за заобикаляне на традиционните механизми за сигурност и поемане на контрол над акаунти, включително Telegram, без дълги убеждавания и „обаждания от банката“.

Съвсем просто е. Човек вижда код в реклама, на уебсайт или в приложение, насочва камерата на смартфона към него — и се озовава извън обичайния защитен периметър. След това на личното устройство се стартират по-уязвими процеси, където корпоративните филтри и антивируси често са безсилни.

Анализаторите от Unit 42 описаха три основни техники

Първата е свързана с услуги, които едновременно генерират QR-код и съкращават връзките. Визуално всичко изглежда безопасно, но преходът не води до крайния ресурс, а до междинен адрес с верига от пренасочвания. Собственикът на такава конструкция може да промени крайната точка по всяко време. Според телеметрията на Unit 42, на ден се откриват над 11 000 злонамерени QR-кода. При сканиране на уеб-страници офлайн експертите откриват около 75 000 кода дневно, а приблизително 15% от страниците съдържат елементи, водещи до опасни ресурси.

Втората техника е свързана с използването на deep link. Това са линкове, които отварят специфичен екран в мобилно приложение и задействат активност без класически уеб-преход. Такъв маршрут е по-труден за анализ със стандартните скенери, тъй като крайното действие е скрито в приложението. Има сценарии, при които след сканиране потребителят се озовава на екрана за оторизация в месинджъра, вижда предложение за свързване на ново устройство или иницииране на плащане. В извадката на Unit 42, около 3% от QR-кодовете съдържат deep link. Най-често са разпространявани в Telegram, XHS Discover и Line. Регистрирани са и примери за атаки срещу Signal и WhatsApp чрез механизми за свързване на допълнителни устройства.

Третото е заобикаляне на филтрите в магазините за приложения. Изследователите откриха 59 000 страници, където QR-кодовете водят до директно изтегляне на приложения за Android във формат APK. Общо са открити 1457 уникални файла. Значителна част от тези дистрибуции са свързани с хазартни услуги. В същото време инсталаторите изискват разрешения, които изглеждат прекомерни за обявената функция —- достъп до камерата, геолокация, вътрешна памет.

Докладът обръща специално внимание на статистиката за индустрията. При атаките, използващи съкратени връзки, 29% от случаите се падат на финансовия сектор. Следват високотехнологичните компании с 19% и сегментът на търговията на едро и дребно с 14%. В същото време финансовите QR-връзки заемат по-малък дял от общата маса легитимен трафик, което демонстрира целенасочения интерес на нападателите към тази област.