Streepjescode biedt hackers toegang tot hoofdsysteem
Hele bedrijfsprocessen zijn afhankelijk van streepjescodes, maar hackers kunnen die code misbruiken om op relatief eenvoudige wijze toegang te krijgen tot de achterliggende computersystemen. Met een code, genaamd Badbarcode, zijn hackers in staat om met barcode scanners en een gemanipuleerde streepjescode een shell-venster op een host-computer te openen en zo commando’s uit te voeren.
De hack werd afgelopen week tijdens de PanSec 2015 conferentie in Tokyo gedemonstreerd. “Badbarcode kan het hostsysteem in principe elk commando laten uitvoeren”, waarschuwt een van de onderzoekers van het Tencent’s Xuanwu Lab op Threatpost.
De hack werkt omdat veel streepjescode niet alleen bestaan uit numerieke en alfanumerieke karakters, maar soms uit ASCII-tekens. Barcode scanners zijn in wezen toetsenbord emulators en als ze het Code128 protocol ondersteunen, kan een aanvaller een barcode creeëren die wordt gelezen en een shell op de computer opent. Het uitvoeren van de hack is dan ook relatief eenvoudig volgens de onderzoekers. Een kwestie van een paar gemanipuleerde streepjescodes genereren en ze op papier uitprinten.
De hack zou ernstig zijn omdat het niet beperkt blijft tot een specifiek product. Diverse grote fabrikanten van barcode scanners zoals Esky, Symbol en Honeywell, maken producten die hiermee misbruikt kunnen worden. Het misbruik door Badbarcode is te voorkomen als fabrikanten van barcode scanners additionele functies, die los staan van het hoofdprotocol, standaard uitschakelen. Ook zouden ASCII controletekens niet standaard naar de host verzonden moeten worden.
dus ik print het commando downloaddezesoftwareenvoeruit in streepjes uit, en plak het op de melk, waarna een argeloze caissiere mij root-scant on een kassa-systeem. Of plak het op een Gamma-bloempot, die je weer terug in het schap zet.
Hm. seems like a bit of a stretch, maar een voice commanded pc kun je ook laten rebooten door op een website de juiste .wav te embedden.
Met de kennis die ik heb van kassa-systemen geef ik deze een score: lastig uitvoerbaar, en alleen op specifieke machines, en dan vervolgens zeer lastig detecteerbaar.
Complete assemblagelijnen van fabrieken zijn afhankelijk van barcodes.
Als voorbeeld: iedere auto fabrikant maakt gebruik van barcodes. Je zou dus (in theorie) met de juiste 'foute' barcode een complete assemblage lijn in de soep kunnen laten lopen.
Niet alleen door te zeggen, start dit programma en download deze malware, maar er zijn nog genoeg andere mogelijkheden.
Hmm... - als die applicatie dan niet netjes z'n user input sanitized, dan zou er een SQL statement doorheen kunnen glippen. Wel de ultieme blind-SQL injection ;-)
De basis regel is: maak van iedere invoer de data op juiste wijze schoon. Dus of het nu een microfoon is of een keyboard, een muis of een ocr-scanner etc. Maar hoe kan je verwachten dat als onderzoekers het wiel opnieuw gaan uitvinden dat onderzoekers van fabrikanten ze voor hadden moeten zijn? De nieuwe generaties onderzoekers leren aan beide kanten niet van het verleden. Doordat het zo makkelijk is geworden om producten te ontwerpen en op de markt te zetten of onderzoeker te spelen is het aanbod wel groter, maar de kwaliteit niet beter.
"I thought you used the pill"
Blijkbaar wel in sommige gevallen. In de tijd van inbel modems kon je een escape sequentie in de datastroom toevoegen en dan werd de daarop volgende karakters als instructie uitgevoerd. Als je een file comprimeerde moest je (De zip-software) er voor zorgen dat er niet per ongeluk zulke esc sequensen ontstonden.
QR codes kunnen meer informatie bevatten. Met dezefde (foute) setup dus nog erger...
Hehe memories :) Deze bijvoorbeeld (0x) 2b2b2b415448300d = +++ATH0 = HangUP. denk ping payload of iets anders dat het terug echoed.
QR codes kunnen meer informatie bevatten. Met dezefde (foute) setup dus nog erger...
Hmmm misschien toch nog is onderzoeken dan. Leek me wel goud om zijn gezicht te zien. ;).
Als je de link volgt kom je de SMS aansturing voor sommige apparaten tegen...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
