Des hackers font planter des lecteurs de codes-barres avec un QR code

le hacker Richard Henderson a montré qu’il était possible de faire planter certains lecteurs en leur montrant un code QR qui encode la chaîne de caractères suivante :

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

Ces 68 caractères sont utilisés dans l’industrie informatique pour tester le bon fonctionnement des antivirus. Dès qu’un tel logiciel tombe dessus, il pense qu’il est en présence d’un malware et va procéder à son élimination : mise en quarantaine, redémarrage, blocage logiciel, etc. Cela dépend du système et de la politique de sécurité sous-jacente.

Durant sa conférence, M. Henderson a montré plusieurs vidéos et images de plantage « que des amis lui ont transmis ». Confronté à un QR code « EICAR », un lecteur de codes-barres d’une grande chaîne de supermarché américaine devient ainsi inopérant. Même résultat pour un lecteur de passeport d’un aéroport, avec en prime une énorme alerte en rouge. Et à la sortie d’un parking, une caisse automatique tombe totalement en rade, bloquant la sortie des automobilistes pendant au moins 20 minutes.

Selon M. Henderson, les lecteurs de codes-barres sont en réalité multifonctionnels et savent également lire les codes QR. L’information scannée arrive sur la base de données d’un serveur qui tourne généralement sous Windows et sur lequel est — par conséquent — installé un antivirus. Et c’est là que le drame arrive. « Les gens qui créent ces systèmes n’imaginent pas de quelle façon les gens peuvent utiliser leurs machines », souligne M. Henderson, qui s’est d’ailleurs commandé tout un pack d’autocollants avec le fameux code QR EICAR.

Des actions à ne pas imiter

D’autres attaques sont imaginables, estime-t-il, comme les lecteurs de prix dans les supermarchés, les scanners de bagages dans les aéroports ou les lecteurs de plaques minéralogiques. Mais dans ces derniers cas, difficile de savoir si l’on provoque un plantage ou pas. Les organismes qui en sont responsables ne risquent pas d’en parler.

De toute façon, il n’est pas recommandé d’imiter ce genre d’action. Faire planter volontairement un lecteur de code-barre pourrait être considéré comme un délit, au regard de l’article 323-1 du Code pénal. « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de cinq ans d’emprisonnement et de 150 000 euros d’amende ».

Source : 01net.com

Leave a Reply

quinze − neuf =