Como ya hemos hablado hay muchas formas de que te “hackeen” o te roben con un simple clic. Pero también es posible hacerlo con algo tan inocente como es un código QR. Si alguien acaba de despertar del coma o salir de una cueva diré que un código QR no es más que la evolución del código de barras tradicional pero que te redirecciona, como por ejemplo a una web. Esto es inocente, pero a la par peligroso. Imagina que llegas a tu trabajo y ves todo empapelado con códigos QR y nadie sabe que esconden. Seguro que algún compañero o incluso tu tentado por la curiosidad lo compruebas. Este QR puede llevarte a algo tan inocente como un meme o por lo contrario descargar un Exploit automáticamente o llevarte a Facebook escondiendo una herramienta de Phishing detrás para robarte tus credenciales.
Hoy con el fin de APRENDER y sabiendo que la comunidad de PixelMuerto no van a hacer el mal, os enseñare como crear un QR y hacerle phishing mostrando Twitter.
Para esto usaremos una herramienta de Kali Linux llamada Setoolkit.
Para ejecutarla vamos a la terminal en Kali y usado el siguiente comando:
Tras esto nos saldrá el menú para el tipo de ataque que vamos a hacer, marcamos la opcion 1.
Ahora marcamos la opción 2, Website Attack Vectors.
Tras esto marcaremos la opción de Credenciales ya que es lo que nos interesa, opción 3.
Ya tenemos definido qué tipo de ataque será. A continuación, vamos a clonar la web para el phising, opción 2.
Ahora nos pide la IP donde levantaremos el falso Twitter, yo como lo voy a hacer en un entorno controlado pondré mi propia IP.
Tras esto nos pedirá que URL es la que vamos a clonar, en mi caso twitter.com.
Y con esto ya tendríamos levantado el falso twitter en mi IP, ya solo nos queda asociarlo con el QR. Para esto retrocedemos en el menú hasta llegar al inicio usando varias veces “99”.
Una vez en el inicio volvemos a marcar la opción 1.
Ahora indicaremos que vamos a generar un QR, opción 8.
Para terminar, nos pedirá la URL donde nos llevará ese código QR, en mi caso pongo de nuevo mi propia IP.
Tras esto nos indica la ruta donde se cuenta el código QR.
Si vamos a la ruta y abrimos la imagen .png podemos ver que efectivamente tenemos ya nuestro QR Malicioso.
Ahora simplemente tendríamos que pasarle este código QR a la víctima. Si la victima cayera en la trampa ver la contraseña sería tan fácil como ir a la ruta “/var/www”. En esta ruta se generará un .txt con el user y la pass de la víctima.
Y esto sería el QR Malicioso. Como ya dije puedes hacer que se redireccione a un Exploit simplemente poniendo la URL o podrías hacer que se descargue alguna imagen con un troyano oculto, esto ya es al gusto del consumidor.
Esto sería como ir a un buffet libre teniendo gastroenteritis y solo tener un paquete de clínex mentolados.
