QR-Code-Angriffe per E-Mail
Eine neue Variante des Phishings erfreut sich zunehmender Beliebtheit: Quishing, also QR-Code-Phishing. Die eigentlich harmlosen QR-Codes eignen sich nämlich hervorragend, um bösartige Absichten zu verschleiern. Hinter einem üblichen QR-Code-Bild kann sich ein schädlicher Link verbergen, was kaum ersichtlich ist.
Da Anwender daran gewöhnt sind, QR-Codes zu scannen, wird ein solcher Code in einer E-Mail oft nicht als Bedrohung erkannt. Aus diesem Grund raten die Sicherheitsforscher von Check Point dazu, sehr genau auf den Absender zu achten, wenn eine E-Mail einen QR-Code enthält. Im Zweifelsfall sollte man lieber die jeweilige Website direkt aufrufen. Auch können QR-Scanner unter Umständen die hinterlegte URL anzeigen, bevor Nutzer diese tatsächlich öffnen. Ferner sollten User die URL stets genau in Augenschein nehmen und auf Plausibilität prüfen, bevor sie vertrauliche Daten auf der Seite eingeben.
Bei einem konkreten Angriff haben die Hacker einen QR-Code erstellt, der zu einer Seite führt, auf der Anmeldeinformationen gesammelt werden. Der angebliche Grund ist, dass die Microsoft Multi-Faktor-Authentifizierung abläuft und man sich deshalb erneut authentifizieren solle. Entgegen der Behauptung des Textes, dass er von Microsoft Security stamme, gehört die Absenderadresse einer anderen Quelle. Sobald der Benutzer den QR-Code scannt, wird er auf eine Seite geleitet, die wie die Website von Microsoft aussieht, aber in Wirklichkeit nur dazu dient, seine Zugangsdaten zu stehlen.
Der Angriff funktioniert folgendermaßen: Ein Bild mit dem Text wird erstellt, um einige Sprachanalyse-Tools zu umgehen. Als Gegenmaßnahme kommt oft eine optische Zeichenerkennung (OCR) zum Einsatz. OCR wandelt Bilder in Text um, um ihn lesbar zu machen. Die Hacker haben jedoch eine andere Möglichkeit gefunden, dies zu umgehen, nämlich einen QR-Code. Diese Angriffe zu bekämpfen, ist komplizierter. Die OCR muss in eine Funktion zur QR-Code-Erkennung integriert, in die URL übersetzt und durch URL-Analysetools analysiert werden.
QR-Codes lassen sich natürlich auch anderswo platzieren, etwa im öffentlichen Raum. Daher ist es wichtig, Nutzer für die Gefahren solcher Codes zu sensibilisieren und gleichzeitig über vorhandene Sicherheitsprodukte, die beispielsweise URLs vor dem Öffnen prüfen, zu schützen. Ebenfalls sollten die verwendeten Endgeräte samt deren Software stets auf dem aktuellen Stand sein, um das Ausnutzen von Schwachstellen durch Exploit-Kits zu vermeiden.