QRcode, attention danger !

[Vous devez être inscrit et connecté pour voir cette image]INFO ZATAZ - Les flashcodes, appelés QRcode, envahissent le web et nos vies. Prudence, des pirates se penchent sur la manipulation des QRcode. Un QRcode, un carré noir et blanc rempli de petits pixels. On retrouve ces QRcodes, baptisés aussi Flashcodes dans les journaux, la publicité... Il est possible de naviguer vers un site internet ; mettre l’adresse d’un site en marque-page ; faire un paiement direct via son cellulaire (Europe et Asie principalement) ; ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique) ; déclencher un appel vers un numéro de téléphone ; envoyer un SMS ; montrer un point géographique sur Google Maps ou Bing Maps ; coder un texte libre. Bref, toutes les possibilités sont ouvertes un QRcode.

Des moyens divers et varier pour un pirate assez débrouillard afin de perturber ce système ingénieux, et cela de manière totalement anonyme. ZATAZ.COM a pu rencontrer un chercheur underground. Nous l'appellerons DBTJ. Il se spécialise dans la recherche de procédés détournés pour QRcode. "Avec mes collègues, explique-t-il à ZATAZ.COM, nous avons testés plusieurs cas, qui, hélas, se sont avérés efficaces." Dans les cas que ZATAZ.COM a pu constater, naviguer vers un site internet et se retrouver face à un [Vous devez être inscrit et connecté pour voir ce lien] ; Mettre l’adresse d’un site en marque-page (Shell) ; Ajouter une carte de visite virtuelle (vCard, MeCard) dans les contacts, ou un événement (iCalendar) dans l’agenda électronique, bilan, derrière cette possibilité se cachait un vol de données et une mise en place d'usurpation d'identité. Déclencher un appel vers un numéro de téléphone ou envoyer un SMS. Le QRcode a permis une attaque DDoS/DoS. D'ailleurs, ce type d'attaque a très pu, par exemple, être utilisée dans l'affaire que ZATAZ.COM vous contait, la semaine dernière ([Vous devez être inscrit et connecté pour voir ce lien]). "Mais cela va encore plus loin, explique l'interlocuteur de ZATAZ.COM, Nous avons pu tester les trojans comme Zeus et SpyEye, par des techniques de MitMo (Man in the Mobile), SMS et QRcode. Réussite totale pour Iphone, HTC et même Android".

ZATAZ.COM a pu se rendre compte qu'avec un simple générateur de QRcode (il en existe des dizaines sur la toile, NDLR), il est possible de rendre l'infection plus efficace, rapide et toujours indétectable (image ci-dessous).