קווישינג: כשהפישינג מסתתר מאחורי קוד QR

«סרקו את הקוד הזה כדי לחתום על המסמך.» המשפט נראה תמים, וכך גם הריבוע הקטן בשחור-לבן. אבל מאחורי קוד ה-QR הזה מסתתר לעיתים קרובות דף כניסה מזויף. לשיטה יש שם: קווישינג (Quishing), צירוף של «QR» ו«פישינג». נראה למה היא עובדת כל כך טוב, ואיך חושפים את האתר שמסתתר מאחוריה ומדווחים עליו.

מה זה קווישינג?

קוד QR הוא לא יותר מטקסט שכתוב בריבועים קטנים. ברוב המקרים הטקסט הזה הוא כתובת אתר. כשסורקים, הטלפון קורא את הטקסט ומציע לפתוח את הדף.

קווישינג משתמש בתרחישי הפישינג המוכרים, אבל מחליף את הקישור הלחיץ בקוד QR:

• מסמך «לחתימה» או «ששותף איתכם»;
• אימות דו-שלבי «שצריך להפעיל מחדש עד הערב»;
• חבילה מעוכבת, קנס, החזר כספי.

הוא מופיע גם מחוץ לדוא״ל: מדבקות שמודבקות מעל קודי QR אמיתיים במכונות חניה, בעמדות טעינה או בתפריטי מסעדות. העיקרון זהה: לגרום לסרוק, ואז לגרום להקליד.

למה קוד QR מחליק בין חורי הרשת

מסנני דואר מצוינים בדבר אחד: לקרוא את הטקסט של ההודעה, לאתר קישורים ולבדוק לאן הם מובילים. אבל קוד QR הוא לא קישור, אלא תמונה. בעיני מסנן שלא יודע לפענח אותה, ההודעה לא מכילה… אף קישור. היא אפילו נראית נקייה יותר מהודעה רגילה.

יש מסננים שכבר יודעים לקרוא קודי QR. הנוכלים מסתגלים ומקשים על הקריאה:

• הקוד מוכנס לקובץ PDF מצורף במקום לגוף ההודעה;
• הוא מצויר כטבלה של תאים צבעוניים או בתווים, לא כתמונה;
• הוא נחתך לשתי תמונות שמוצמדות זו לזו, או מעוות מעט.

לעין האנושית שום דבר לא משתנה: הטלפון קורא את הקוד בלי קושי. לרובוט זו עוד חידה. זה אותו משחק מחבואים שמתואר במדריך פישינג: איך נוכלים מצליחים להעביר את ההודעות שלהם.

הקפיצה הגדולה: מהמחשב לסמארטפון

הכוח האמיתי של הקווישינג נמצא במקום אחר: הוא גורם לנו להחליף מכשיר. ההודעה מגיעה למחשב שלרוב מוגן על ידי הארגון: מסנן אינטרנט, אנטי-וירוס, בדיקת קישורים. אבל כדי לסרוק, שולפים את הטלפון. ושם הכול משתנה:

• הטלפון הוא לעיתים קרובות אישי, מחובר דרך 4G או 5G, מחוץ לרשת ולהגנות של הארגון;
• המסך קטן: כתובת הדף קטועה, או לא מוצגת בכלל;
• מתחברים מהר, מתוך הרגל, בין משימה למשימה.

במילים אחרות, המלכודת נסגרת הרחק מהשומרים. דפי קווישינג מותאמים לרוב לטלפון. ורבים מהם הם דפי «מתווך» שמסוגלים לעקוף אימות דו-שלבי: זה הנושא של המדריך AiTM: כשהפישינג גונב את ההתחברות שלכם, לא רק את הסיסמה.

לקרוא את הכתובת המוסתרת… בלי לפתוח אותה

כדי לנתח מתקפת קווישינג, הצעד הראשון הוא להפוך את קוד ה-QR לטקסט, בלי לבקר בדף אף פעם. יש כמה דרכים:

• מצלמת הטלפון מציגה בדרך כלל את הכתובת לפני שהיא פותחת אותה. קוראים, לא לוחצים.
• אפליקציה לקריאת קודי QR שמוגדרת להציג את הטקסט בלי לפתוח את הדפדפן.
• במחשב, מצלמים את הקוד בצילום מסך ומפענחים אותו בכלי שעובד ללא חיבור, למשל הכלי החינמי zbarimg:

$ zbarimg capture.png
QR-Code:https://sho.rt.example/x7Kp

מקבלים כתובת כמו כל כתובת אחרת. שומרים אותה בזהירות: זו הראיה.

לזהות את הדומיין ואת התשתית

כתובת אתר קוראים קצת כמו כתובת דואר שנכתבה הפוך. השם שחשוב, הדומיין, נמצא ממש לפני ה-«/» הראשון שאחרי https://. כל מה שמשמאלו הבעלים יכול לבחור כרצונו.

https://login.docs-m1crosoft.example/auth

כאן הדומיין הוא docs-m1crosoft.example, לא Microsoft. המילה «login» בהתחלה לא מוכיחה כלום. אותה מלכודת ב-microsoft.com.verification.example: הדומיין האמיתי הוא verification.example. יש דומיינים שהולכים רחוק יותר ומשתמשים באותיות מאלפביתים אחרים שדומות לאותיות הלטיניות: ראו Punycode והומוגרפים: כשדומיין מזויף נראה כמו האמיתי.

אחרי שמוצאים את הדומיין, מחפשים מי יכול לפעול. שלושה גורמים חוזרים תמיד:

• הרשם הוא «מרשם האוכלוסין» של שם הדומיין: החברה שממנה הוא נקנה. הוא יכול להשעות את הדומיין, וכך כל הדפים שמשתמשים בו מפסיקים לעבוד. מוצאים אותו בשאילתת RDAP או WHOIS על הדומיין, שמראה גם את תאריך היצירה שלו: דומיין של «בנק» שנוצר לפני שלושה ימים הוא סימן רע מאוד.
• ספק האחסון הוא בעל הבניין: החברה שהשרת שלה מציג את הדף. הוא יכול להסיר את הדף או לכבות את השרת.
• ה-CDN (כמו Cloudflare) הוא דלפק הקבלה שלפני הבניין: הוא מגיש את הדף במקום השרת ומסתיר את הכתובת האמיתית שלו. הוא מקבל דיווחים, יכול להציג אזהרה ומעביר את התלונה לספק האחסון.

מה עושים כשקוד ה-QR מוביל לכמה דומיינים?

זה נפוץ מאוד: הקוד לא מוביל ישירות לדף המלכודת, אלא לשרשרת של הפניות. מקצר קישורים, אחריו שירות לגיטימי שמנוצל כדי להפנות למקום אחר, לפעמים בדיקת «האם אתם בני אדם?», ולבסוף דף הכניסה המזויף.

לכל חוליה יש אחראי משלה, ועל כל חוליה אפשר לדווח:

1. קודם הדף הסופי: הדומיין שלו (לרשם) והשרת שלו (לספק האחסון או ל-CDN).
2. אחר כך החוליה הראשונה, זו שכתובה בקוד ה-QR. זו נקודת תורפה של הנוכל: קוד QR שהודפס או נשלח כבר אי אפשר לשנות. אם מנתקים את הקישור הראשון הזה, כל הקודים שכבר הופצו הופכים לחסרי תועלת.
3. ולבסוף המתווכים: מקצר קישורים חוסם בדרך כלל קישורים פוגעניים מהר מאוד, ולאתר לגיטימי שמשמש קרש קפיצה יש כל אינטרס לדעת על כך.

מתעדים את כל השרשרת, עם תאריך ושעה: הנוכלים מחליפים לעיתים קרובות את היעד הסופי, ודיווח מתוארך עוזר לצוותים שמקבלים אותו.

לדווח על המתקפה עם Baitback

קוד QR לא מעלים את ההודעה: היא נשלחה משרת ששייך לספק אחסון. מדביקים את קוד המקור המלא של ההודעה ב-Baitback: הכלי מוצא את השרת השולח, את ספק האחסון שלו ואת כתובת הדיווח, בודק SPF, ‏DKIM ו-DMARC ומכין הודעות דיווח מוכנות לשליחה. כדי להבין מה מספרות שורות הכותרת האלה, ראו איך הודעת דוא״ל עוברת מהשולח לנמען.

את הכתובת שפוענחה מקוד ה-QR מדווחים גם לרשם, לספק האחסון או ל-CDN שזוהו קודם, ולפלטפורמות ההגנה של הדפדפנים ש-Baitback מזכיר (Google Safe Browsing‏, Microsoft‏, Netcraft…). תוך שעות ספורות הדף עשוי להיחסם עבור מיליוני משתמשים.

ומה אם כבר סרקנו והקלדנו את הסיסמה?

בלי פאניקה, אבל גם בלי לדחות. ממכשיר מהימן משנים את הסיסמה של החשבון הרלוונטי, משתמשים באפשרות «התנתקות מכל ההפעלות» אם קיימת, ומודיעים למחלקת ה-IT אם מדובר בחשבון עבודה. שינוי הסיסמה לבדו לא תמיד מספיק: המדריך על מתקפות AiTM מסביר למה.