Штрих-коды могут стать новым оружием хакеров

Специалисты китайской компании Tencent's Xuanwu Lab доказали возможность создания вредоносных штрих-кодов, считывание которых сканирующими устройствами может запускать на компьютерах нежелательные сценарии и служить для загрузки вредоносного ПО. Возможность таких атак была продемонстрирована на прошедшей в Токио конференции по кибербезопасности PanSec 2015. Как пояснил основатель и глава компании Янь Ю, исследователи исходили из того простого факта, что большинство штрих-кодов содержат полный набор цифровых и буквенных символов таблицы ASCII. И следовательно, можно запрограммировать штрих-код на запуск тех или иных действий в компьютере, к которому подключено сканирующее устройство.

В продемонстрированных видео атаки, получившей название BadBarcode, использовались как напечатанные на бумаге, так и отображаемые на экране штрих-коды и сканнер, обычно применяемый в аэропортах для считывания информации посадочных талонов пассажиров. После сканирования штрих-кодов в компьютере запускался сценарий, позволявший удаленное исполнение произвольного кода.

«BadBarcode – нечто большее, чем уязвимость одного конкретного продукта, она затрагивает все сферы бизнеса, применяющие считывание штрих-кодов, а используется оно уже повсеместно, - заявил Янь Ю. – Я затрудняюсь пока представить, какое применение могут найти этой уязвимости киберпреступники. Но учитывая масштаб проблемы, речь точно о чем-то большем, чем желание заработать себе на пиво».