QR-кодами пользуются многие известные бренды, проекты и организации. Источник: darwin.museum.ru

Огромное количество людей пользуется мобильными устройствами, и львиная их доля — это смартфоны. Именно на них в последнее время все чаще ориентируются устроители целенаправленных кибератак.

«Только за 2012 год количество вредоносных мобильных программ выросло больше чем в десять раз», — отмечает Каталин Косои, директор по исследованиям компании BitDefender. Этот вывод в компании сделали по результатам анализа мобильных вирусов, собранных с помощью ловушек (honeypot).

Злоумышленники пользуются вредоносными QR-кодами и другими способами атак на мобильные устройства потому, что такие устройства продаются активнее персональных компьютеров, но при этом на смартфоны мало кто устанавливает какие-либо защитные программы.

Что такое вредоносный QR-код

QR-код (сокращение от Quick Response, «быстрый отклик») — графически закодированный адрес сайта. Вредоносный QR-код содержит ссылку на сайт с внедренным в него вирусом.

«Неважно, каким образом QR-код был получен и отсканирован, в конечном счете устройство преобразует его в ссылку», — объясняет Дэвид Мэйман, основатель и директор по технологиям GreenSQL.

По такой ссылке может находиться сайт с троянским кодом.

«Обычно это троянец на JavaScript, — отмечает Дейв Кронистер, главный хакер компании Parameter Security, предоставляющей услуги тестирования сетей на возможность проникновения. — Когда сайт открывается, код JavaScript автоматически запускается и заражает вашу систему вирусом».

После проникновения вирус обычно связывается с хакерскими серверами, которые автоматически передают на устройство другие вредоносные программы, могущие красть и портить ваши данные.

QR-коды можно создавать автоматически с помощью свободно доступных инструментов.

«Например, генератор QR-кодов есть в Social Engineering Toolkit, — отмечает Кронистер. — Это инструментарий, созданный в помощь этичным хакерам для тестирования систем на уязвимости по просьбе организации-заказчика. Естественно, им могут пользоваться и злоумышленники».

Векторы атак

Злоумышленники могут распространять вредоносные QR-коды через скомпрометированные системы маркетинговых агентств, занимающихся генерацией кодов для своих заказчиков. Так что последним не помешает проверять коды на благонадежность. Возможна дистрибуция через фальшивые генераторы QR-кодов или просто путем размещения где-либо с расчетом на сканирование.

Существует также немало бесплатных приложений для создания QR-кодов.

«Ничто не помешает злоумышленнику разместить где-либо приложение, которое будет добавлять к QR-кодам JavaScript, переадресующий на посторонний сайт с вирусами», — отмечает Кронистер.

Если на предприятии позволяют подключать к корпоративной сети личные смартфоны, они могут стать «мостиками» для передачи в нее вредоносных программ при заражении через QR-коды.

Атаки нового поколения

Злоумышленники пользуются вредоносными QR-кодами для совершения фишинга. Атакующий, к примеру, может изготовить тысячу листовок, якобы от Subway, с надписью «Бесплатный сэндвич всем присоединившимся к нашему QR-клубу» и вредоносным кодом. При его сканировании смартфон перейдет на сайт с надписью «Спасибо, что присоединились» и получит троянец.

«QR-кодами пользуется масса известных брендов, так что потребителя легко ввести в заблуждение, подсунув ему поддельный код», — полагает Кронистер.

Целенаправленная атака может также осуществляться с помощью межсайтового скриптинга, когда через брешь легитимного сайта имеющийся на нем QR-код подменяется на вредоносный.

«В браузере открывают сайт, который раньше был безвредным, но теперь на нем QR-код, переадресующий на хакерскую ссылку», — поясняет Кронистер.

Заразив ваш смартфон с помощью вредоносного QR-кода, хакер может получить доступ к вашим сообщениям и показаниям GPS, включать камеры и подслушивать разговоры.

«На смартфонах даже появляются программы, которые могут сделать ваш аппарат частью ботнета, атакующего другие системы», — указывает Кронистер. Такой ботнет способен рассылать спам по SMS или устраивать DDoS-атаки.

Что делать директорам по безопасности

Лучший способ оградить себя от вредоносных QR-кодов на предприятии — не пользоваться ими.

«Сами графические коды не настолько полезны для какого бы то ни было бизнеса, чтобы идти на этот риск, — полагает Кронистер. — Но если уж предприятию не избежать использования QR-кодов, придется позаботиться о средствах проверки их надежности».

Проинструктируйте сотрудников, объясните, что нельзя пользоваться QR-кодами на смартфонах, с помощью которых они подключаются к корпоративной сети.

«Если в компании принят подход BYOD, проведите с сотрудниками разъяснительную работу по поводу рисков, связанных с QR-кодами», — добавляет Кронистер.

В компаниях стоит изолировать беспроводные сети для посетителей от остальной инфраструктуы, а также внутренние сети с конфиденциальными данными — от прочих. К сожалению, это делается не всегда.

«Еще до начала тестирования сети на возможность проникновения, на этапе планирования, часто выясняется, что, несмотря на наличие у предприятия гостевой сети, смартфоны подключаются к корпоративной», — сообщил Кронистер.

Следите за тем, чтобы на смартфонах и других мобильных устройствах присутствовали и обновлялись антивирусы и другое защитное ПО.

«Бывает, мы тестируем сеть и видим, что, согласно политике, на каждой системе, подключающейся к этой сети, должен стоять антивирус, — рассказывает Кронистер. — Но вот я прошу посмотреть чей-нибудь iPhone, и оказывается, что на нем нет антивируса, хотя смартфон подключен к корпоративной сети».

Долговременные решения

Специалистам по безопасности нужно регулярно уточнять и дополнять фильтры, с помощью которых анализируются файлы сетевых протоколов на различные аномальные события.

«Такой анализ поможет, например, определить, когда к внутренней системе подключился корпоративный смартфон, принадлежащий сотруднику, который в этот день взял отгул по болезни, — отмечает Мэйман. — В этом случае сеть может автоматически сбросить соединение, а админам отправить предупреждение для дальнейшего изучения вопроса».

Но даже такие фильтры не панацея. «Явных указаний на то, что имеет место нештатная ситуация, может и не быть», — отмечает он.