Streepjescode biedt hackers toegang tot hoofdsysteem
Hele bedrijfsprocessen zijn afhankelijk van streepjescodes, maar hackers kunnen die code misbruiken om op relatief eenvoudige wijze toegang te krijgen tot de achterliggende computersystemen. Met een code, genaamd Badbarcode, zijn hackers in staat om met barcode scanners en een gemanipuleerde streepjescode een shell-venster op een host-computer te openen en zo commando’s uit te voeren.
De hack werd afgelopen week tijdens de PanSec 2015 conferentie in Tokyo gedemonstreerd. “Badbarcode kan het hostsysteem in principe elk commando laten uitvoeren”, waarschuwt een van de onderzoekers van het Tencent’s Xuanwu Lab op Threatpost.
De hack werkt omdat veel streepjescode niet alleen bestaan uit numerieke en alfanumerieke karakters, maar soms uit ASCII-tekens. Barcode scanners zijn in wezen toetsenbord emulators en als ze het Code128 protocol ondersteunen, kan een aanvaller een barcode creeëren die wordt gelezen en een shell op de computer opent. Het uitvoeren van de hack is dan ook relatief eenvoudig volgens de onderzoekers. Een kwestie van een paar gemanipuleerde streepjescodes genereren en ze op papier uitprinten.
De hack zou ernstig zijn omdat het niet beperkt blijft tot een specifiek product. Diverse grote fabrikanten van barcode scanners zoals Esky, Symbol en Honeywell, maken producten die hiermee misbruikt kunnen worden. Het misbruik door Badbarcode is te voorkomen als fabrikanten van barcode scanners additionele functies, die los staan van het hoofdprotocol, standaard uitschakelen. Ook zouden ASCII controletekens niet standaard naar de host verzonden moeten worden.
dus ik print het commando downloaddezesoftwareenvoeruit in streepjes uit, en plak het op de melk, waarna een argeloze caissiere mij root-scant on een kassa-systeem. Of plak het op een Gamma-bloempot, die je weer terug in het schap zet.
Hm. seems like a bit of a stretch, maar een voice commanded pc kun je ook laten rebooten door op een website de juiste .wav te embedden.
Met de kennis die ik heb van kassa-systemen geef ik deze een score: lastig uitvoerbaar, en alleen op specifieke machines, en dan vervolgens zeer lastig detecteerbaar.
Complete assemblagelijnen van fabrieken zijn afhankelijk van barcodes.
Als voorbeeld: iedere auto fabrikant maakt gebruik van barcodes. Je zou dus (in theorie) met de juiste 'foute' barcode een complete assemblage lijn in de soep kunnen laten lopen.
Niet alleen door te zeggen, start dit programma en download deze malware, maar er zijn nog genoeg andere mogelijkheden.
Hmm... - als die applicatie dan niet netjes z'n user input sanitized, dan zou er een SQL statement doorheen kunnen glippen. Wel de ultieme blind-SQL injection ;-)
De basis regel is: maak van iedere invoer de data op juiste wijze schoon. Dus of het nu een microfoon is of een keyboard, een muis of een ocr-scanner etc. Maar hoe kan je verwachten dat als onderzoekers het wiel opnieuw gaan uitvinden dat onderzoekers van fabrikanten ze voor hadden moeten zijn? De nieuwe generaties onderzoekers leren aan beide kanten niet van het verleden. Doordat het zo makkelijk is geworden om producten te ontwerpen en op de markt te zetten of onderzoeker te spelen is het aanbod wel groter, maar de kwaliteit niet beter.
"I thought you used the pill"
Blijkbaar wel in sommige gevallen. In de tijd van inbel modems kon je een escape sequentie in de datastroom toevoegen en dan werd de daarop volgende karakters als instructie uitgevoerd. Als je een file comprimeerde moest je (De zip-software) er voor zorgen dat er niet per ongeluk zulke esc sequensen ontstonden.
QR codes kunnen meer informatie bevatten. Met dezefde (foute) setup dus nog erger...
Hehe memories :) Deze bijvoorbeeld (0x) 2b2b2b415448300d = +++ATH0 = HangUP. denk ping payload of iets anders dat het terug echoed.
QR codes kunnen meer informatie bevatten. Met dezefde (foute) setup dus nog erger...
Hmmm misschien toch nog is onderzoeken dan. Leek me wel goud om zijn gezicht te zien. ;).
Als je de link volgt kom je de SMS aansturing voor sommige apparaten tegen...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.