Threat Spotlight: Los códigos QR divididos y anidados impulsan una nueva generación de ataques de «quishing»
El «quishing» es una forma de phishing que implica el uso de códigos QR con enlaces maliciosos incrustados. Al escanearlos, estos códigos QR redirigen a las víctimas a sitios web falsos diseñados para robar sus credenciales u otros datos sensibles.
Los códigos QR maliciosos son populares entre los atacantes por varias razones. No pueden leerlos los humanos, por lo que no levantan ninguna señal de alarma, y a menudo pueden eludir las medidas de seguridad tradicionales, como los filtros de correo electrónico y los escáneres de enlaces. Además, dado que los destinatarios a menudo tienen que cambiar a un dispositivo móvil para escanear el código, puede llevar a los usuarios fuera del perímetro de seguridad de la empresa y alejarlos de la protección.
A medida que las herramientas de seguridad se adaptan a la amenaza del quishing, los atacantes han seguido innovando en sus enfoques para usarlo. Barracuda ya informó anteriormente sobre la evolución de los ataques de phishing con códigos QR y la llegada de ataques de códigos QR ASCII más sofisticados.
En este artículo, exploramos los últimos avances en las técnicas de ataque de códigos QR, incluidas las técnicas de códigos QR divididos y códigos anidados (QR en QR).
Códigos QR divididos
El kit de phishing como servicio (PhaaS) Gabagool ha comenzado recientemente a utilizar una nueva técnica para ayudar a que los códigos QR maliciosos eviten la detección. La técnica consiste en dividir el código QR en dos imágenes separadas e incrustarlas en un correo electrónico de phishing. Cuando las soluciones de seguridad para el correo electrónico tradicionales escanean el mensaje, ven dos imágenes distintas y de aspecto inofensivo en lugar de un código QR completo.
Los analistas de amenazas de Barracuda descubrieron recientemente que los atacantes de Gabagool implementaban códigos QR divididos en un ataque que comenzó como una estafa estándar de «restablecimiento de contraseñas» de Microsoft. El uso de mensajes altamente personalizados por parte de los atacantes sugiere que ya habían implementado con éxito un ataque de secuestro de conversaciones contra el objetivo.
Si el destinatario escanea el código, se le dirige a una página de phishing diseñada para robar sus credenciales de inicio de sesión de Microsoft.
Códigos QR anidados
Los analistas han observado que Tycoon 2FA PhaaS ha desplegado otra técnica novedosa para ayudar a que los códigos QR maliciosos eviten la detección. En este caso, el código QR malicioso está incrustado dentro o alrededor de un código QR legítimo.
El email anterior muestra cómo están anidados juntos los dos códigos QR. El código QR externo apunta a una URL maliciosa, mientras que el código QR interno lleva a Google. Esta técnica puede hacer que les resulte más difícil a los escáneres detectar la amenaza porque los resultados son ambiguos.
Defenderse contra la evolución de los códigos QR
Además de los conceptos básicos de la formación en concienciación sobre seguridad, la autenticación multifactor y los filtros robustos de spam y malware, las organizaciones deberían considerar la protección del correo electrónico multicapa que integre capacidades de IA multimodal para detectar estas amenazas que evolucionan rápido.
La IA multimodal mejora la detección al procesar imágenes de archivos adjuntos para localizar visualmente los códigos QR, decodificar el contenido QR y analizar la URL de destino o la carga útil, ejecutar enlaces sospechosos en entornos sandbox para detectar comportamientos maliciosos en tiempo real y utilizar el machine learning para analizar la estructura del código QR y los patrones de píxeles sin necesidad de extraer el contenido incrustado.
La IA multimodal de Barracuda combina OCR, procesamiento profundo de imágenes y modelos de lenguaje natural para detectar correos electrónicos de phishing basados en imágenes, incluso aquellos que contienen solo un código QR.
Los analistas de amenazas de Barracuda informan regularmente sobre la evolución de las amenazas de correo electrónico y las tácticas de ataque. Suscríbete a nuestro blog para recibir actualizaciones al respecto.
Suscríbase al blog de Barracuda.
Regístrese para recibir Threat Spotlight, comentarios de la industria y más.
