Los códigos QR están bajo ataque: los investigadores descubren un agujero de seguridad en los navegadores web

Los expertos de la empresa Mandiant han descubierto un nuevo método para eludir las tecnologías de aislamiento del navegador, que permite a los atacantes organizar comunicaciones C2 utilizando códigos QR. Este hallazgo demuestra vulnerabilidades en los sistemas de seguridad de navegadores modernos.

La tecnología de aislamiento del navegador está diseñada para mejorar la seguridad: redirige todas las solicitudes del navegador local a través de navegadores remotos que operan en la nube o en máquinas virtuales. Cualquier código en los sitios visitados se ejecuta en el lado remoto, y al dispositivo local solo se le envía una imagen visual de la página.

Sin embargo, Mandiant ha encontrado una forma de eludir esta protección. El nuevo método utiliza códigos QR para transmitir comandos. La visualización del código QR en la página pasa a través del aislamiento del navegador, permitiendo que el software malicioso en un dispositivo comprometido lea y decodifique su contenido.

El experimento de Mandiant demostró que esta protección puede ser eludida en la versión actual de Google Chrome. Los investigadores utilizaron Cobalt Strike, una herramienta popular para pruebas de penetración, para llevar a cabo este ataque.

No obstante, el método tiene sus limitaciones. En primer lugar, el tamaño de los datos transmitidos a través de códigos QR está limitado a 2,189 bytes, lo que dificulta la transferencia de grandes volúmenes de información. En segundo lugar, la alta latencia entre solicitudes hace que el método sea lento, con una tasa de aproximadamente 438 bytes por segundo. Esto hace que la técnica no sea adecuada para ataques a gran escala, como la proxyización mediante SOCKS.

Además, Mandiant destaca que medidas de protección adicionales, como la verificación de la reputación de dominios, el escaneo de URL y la prevención de fugas de datos, pueden bloquear este método.

A pesar de estas limitaciones, la amenaza sigue siendo real. Se recomienda a los administradores de sistemas críticos monitorear cuidadosamente el tráfico anómalo y emplear mecanismos de protección para detectar navegadores automatizados en la red.