QRLJacking - 新しいソーシャルエンジニアリング攻撃ベクトル

私たちのWikiでドキュメントをご覧ください。

QRLJackingとは？

QRLJacking（Quick Response Code Login Jacking）は、QRコードログイン機能を安全なログイン方法として利用するすべてのアプリケーションに影響を与える、セッションハイジャックが可能な単純なソーシャルエンジニアリング攻撃ベクトルです。簡単に言えば、被害者が攻撃者のQRコードをスキャンすることでセッションハイジャックが発生します。

悪用方法、クライアント側のセットアップ（攻撃者のブラウザ）:

QRLJackerを使用 - QRLJacking Exploitation Framework

デモ動画:

WhatsApp Webアプリケーションを攻撃し、WhatsApp QRコードを含む偽の広告を注入するMITM攻撃を実行します。 デモ動画

技術論文

QRLJacking攻撃ベクトルに関するすべてを説明する技術論文は、私たちのWikiから直接入手できます。

脆弱なWebアプリケーションとサービス

この攻撃に対して、本稿執筆時点まで脆弱であった多くの有名なWebアプリケーションやサービスがあります。以下に、報告済みの例を示します（ただし、これらに限定されません）：

チャットアプリケーション:

WhatsApp, WeChat, Line, Weibo, QQ Instant Messaging

メールサービス:

QQ Mail (Personal and Business Corporate), Yandex Mail

eコマース:

Alibaba, Aliexpress, Taobao, Tmall, 1688.com, Alimama, Taobao Trips

オンラインバンキング:

AliPay, Yandex Money, TenPay

パスポートサービス「重要」:

Yandex Passport (Yandex Mail, Yandex Money, Yandex Maps, Yandex Videos, etc...)

モバイル管理ソフトウェア:

AirDroid

その他のサービス:

MyDigiPass, Zapper & Zapper WordPress Login by QR Code plugin, Trustly App, Yelophone, Alibaba Yunos

著者

Mohamed Abdelbasset Elnouby (@SymbianSyMoh)

[email protected]

謝辞

（順不同）

• Mohamed Abdel Aty (@M_Aty)
• Mostafa Kassem (@Zanzofily)
• Karim Shoair (@D4Vinci)
• Abdelrahman Shawky (@ShawkyZ)
• Ahmed Elsobky (@0xSobky)
• Ahmed Abbas (@Fiberghost)
• Hiram Camarillo (@Hiramcoop)
• Juan Carlos Mejia (@Th3kr45h)