QrlJacker herramienta y técnica de la explotación de QrlJacking

Share this…

¿Qué es QRLJacking?

Según cursos de ethical hacking, QRLJacking o Quick Response Login Jacking, es un vector simple de ataque de ingeniería social capaz de secuestrar la sesión que afecta a todas las aplicaciones que se basan en el “Inicio de sesión con el código QR” característico como una forma segura de iniciar sesión en las cuentas. En pocas palabras, la víctima escanea el código QR del atacante que da como resultado el secuestro de sesión.

¿Cuáles son los requisitos para lograr un ataque QRLJacking con éxito?

Según expertos de ethical hacking de iicybersecurity, el ataque QRLJacking consta de dos partes:

  1. El lado de servidor: Se necesita un script del lado del servidor para servir y dar forma a la apariencia final a la víctima.
  2. Parte Cliente: Clonación del código QR y empujarlo a la página de phishing.

 

Ejemplo de ataque: La aplicación web de WhatsApp!

 

Configuración del servidor (alojamiento del atacante):

  1. Subir “qrHandler.php” a su servidor. Este archivo php se utiliza para convertir la cadena base64 QR en un archivo .JPG válido. Ahora usted tiene una imagen generada QR válida, llamada “tmp.jpg” que reside en la misma carpeta raíz que los archivos los cuales se actualizan cada vez que el archivo php se llama, por lo que se puede poner en cualquier lugar explica Arturo Reyes, experto de ethical hacking. Por ejemplo: una página falsa WhatsApp, una página de estafa con una oferta relacionada con WhatsApp, etc. Dependiendo de su creatividad.
  2. Ahora actualizar el archivo “phishing.html” con su código fuente preferido de página de phishing.

La configuración del lado del cliente (el navegador del atacante):

  1. Según recomendación de experto de ethical hacking, Abra su navegador Firefox.
  2. Escriba “about: config” en la zona de URL, haga clic en el botón de confirmación “I’ll be careful, I promise”.
  3. Buscar una preferencia llamada “security.csp.enable” y cambie su valor a “false” haciendo doble clic en él para permitir la realización de un XHR Request de un dominio diferente.
  4. Instalar el complemento Greasemonkey (https://addons.mozilla.org/en-US/firefox/addon/greasemonkey) y asegúrese de que el archivo del módulo “WhatsAppQRJackingModule.js” se cargue y ya se esté ejecutando.
  5. Ahora estamos listos. Navegar con el ejemplo de su lado y esperar a una sesión de WhatsApp que se cargue. Greasemonkey ahora debe inyectar nuestro archivo de módulo de WhatsApp para atrapar.
  6. Enviar el enlace directo de la última página de phishing a una víctima.

Una vez que el código QR es escaneado, la sesión de la víctima es tuya explica experto de ethical hacking.

QrlJacker

qrljacking-framework

Una herramienta de pitón creado por expertos de ethical hacking, cuyo objetivo es explotar el vector de ataque QrlJacking con facilidad

Requerimientos de instalación

  • Python 2.7.x
  • Requests
  • Pillow
  • Selenium
  • configparser

 

La instalación en Windows

cd QrlJacking-Framework

pip install -r requirements.txt

python QRLJacker.py

 

Instalación en Ubuntu 16.04

sudo apt-get install python-dev python-pip libncurses5-dev git

git clone https://github.com/OWASP/QRLJacking

cd QrlJacking-Framework

pip install -r requirements.txt

python QRLJacker.py

 

Instalación en OSX

git clone https://github.com/OWASP/QRLJacking

cd QrlJacking-Framework

sudo easy_install pip

sudo pip install -r requirements.txt

python QRLJacker.py

 

Actualmente QrlJacker funciona en los siguientes sitios web:

1)whatsapp
2)WeChat
3)Weibo
4)Yandex
5)Taobao
6)Taobao Trips
7)AliPay
8)Yandex Money
9)Yandex Passport
10)Airdroid
11)MyDigiPass
12)Zapper
13)Trustly App
14)Yelophone

Lista de cosas por hacer:

1)Line
2)QQ Instant Messaging
3)QQ Mail
4)Alibaba
5)Aliexpress
6)Tmall
7)1688.com
8)Alimama
9)TenPay
10)Alibaba Yunos

https://github.com/OWASP/QRLJacking