QRTable Phishing

De CiberWiki
Revisión del 18:10 8 ene 2026 de Fernando.VH (discusión | contribs.) (Descripción de QRTable Phishing)
(difs.) ← Revisión anterior | Revisión actual (difs.) | Revisión siguiente → (difs.)

La campaña QRTable_Phishing es una sofisticada operación de quishing que evade los controles de seguridad tradicionales al generar códigos QR mediante tablas HTML en lugar de imágenes, evitando así los sistemas de detección que analizan gráficos maliciosos. Los atacantes distribuyen correos con estos códigos "sin imagen" que redirigen a URLs personalizadas del dominio lidoustoo[.]click, buscando capturar credenciales al explotar la confianza del usuario y la menor protección en dispositivos móviles. Esta técnica, aunque no es nueva, resalta la necesidad constante de adaptar las defensas ante métodos de evolución continua.

Nombres Alternativos / Aliases

  • Quishing mediante HTML
  • QR Code Table Phishing
  • Imageless QR Campaign
  • Lidoustoo Click Campaign

Fecha de Detección / Actividad

  • Primera detección documentada: 22 de diciembre de 2026
  • Período de actividad activa: 22-26 de diciembre de 2026
  • Fecha de publicación del análisis: 7 de enero de 2026
  • Última actualización: 7 de enero de 2026 09:32:26 UTC

Actor de Amenaza (Atribución)

Atribución: Desconocida (No atribuida a grupo APT específico)

Tipo de actor: Cibercriminales oportunistas

Nivel de sofisticación: Medio-Alto (técnicamente especializado)

Motivación: Financiera (phishing para obtención de credenciales)

Resumen Ejecutivo

Una campaña de phishing sofisticada que emplea códigos QR generados mediante tablas HTML en lugar de imágenes tradicionales, evadiendo mecanismos de seguridad diseñados para detectar códigos QR maliciosos en correos electrónicos. Los atacantes utilizan esta técnica para sortear soluciones de seguridad que analizan imágenes, aprovechando la confianza inherente de los usuarios en los códigos QR y la dificultad técnica para detectar esta representación alternativa.

La campaña se distribuyó entre el 22 y 26 de diciembre de 2026, con mensajes de phishing que contenían códigos QR "sin imagen" construidos mediante celdas de tabla HTML con colores de fondo blanco y negro. Los códigos QR direccionaban a subdominios del dominio lidoustoo[.]click, diseñados específicamente para cada víctima.

Vectores de Ataque

  1. Correo electrónico: Vector primario de distribución
  2. Códigos QR sin imagen: Mediante tablas HTML (180x180 celdas de 4x4 píxeles)
  3. Ingeniería social: Aprovechamiento de la confianza del usuario en códigos QR
  4. Dispositivos móviles: Redirección a smartphones con menor protección

Técnicas, Tácticas y Procedimientos (TTPs)

MITRE ATT&CK Framework Mapping:

  • T1566.002: Phishing - Spearphishing Link
  • T1598.003: Phishing for Information - Spearphishing Link
  • T1204.002: User Execution - Malicious File
  • T1027: Obfuscated Files or Information
  • T1036: Masquerading
  • T1585.001: Establish Accounts - Social Media Accounts

Técnicas Específicas:

  1. Representación HTML de códigos QR: Uso de tablas con celdas coloreadas para simular píxeles
  2. Evasión de detección de imágenes: Evita análisis de imágenes mediante renderizado HTML
  3. Personalización de URLs: Inclusión del email del destinatario en la URL
  4. Uso de dominios legítimos aparentes: Subdominios que simulan servicios conocidos (onedrive)

Flujo de Ataque (Kill Chain)

  1. Reconocimiento: Obtención de listas de correos corporativos
  2. Preparación de infraestructura: Configuración de dominio lidoustoo[.]click y subdominios
  3. Armamento: Generación de códigos QR mediante tablas HTML personalizadas
  4. Entrega: Envío masivo de correos de phishing
  5. Explotación: Usuario escanea código QR con dispositivo móvil
  6. Instalación: Redirección a página de phishing que simula servicio legítimo
  7. Acción sobre objetivos: Captura de credenciales en página falsa

Infraestructura Utilizada (IOCs)

Dominios:

  • lidoustoo[.]click (Dominio principal)
  • onedrive[.]lidoustoo[.]click (Subdominio utilizado el 22/12/2026)
  • *[.]lidoustoo[.]click (Patrón de subdominios)

Patrón de URLs:

text 

hxxps[:]//<dominio_del_correo_destinatario><cadena_decimal_o_hexadecimal>[.]lidoustoo[.]click/<cadena_alfanumérica>/$<correo_destinatario>

Características técnicas:

  • Protocolo: HTTPS
  • Estructura: Personalizada por destinatario
  • Codificación: Mezcla de decimal y hexadecimal en subdominios

Objetivos y Sectores Atacados

Sectores objetivo:

  • Corporaciones en general (ataque indiscriminado)
  • Posible enfoque en organizaciones que utilizan Microsoft 365 (por uso de "onedrive" en subdominio)

Objetivos:

  • Obtención de credenciales corporativas
  • Acceso a cuentas de servicios en la nube
  • Posible robo de información sensible

Impacto y Riesgo

Nivel de riesgo: ALTO

  • Impacto técnico: Medio (evasión de controles de seguridad)
  • Impacto empresarial: Alto (potencial compromiso de credenciales)
  • Propagación: Media (requiere interacción del usuario)

Riesgos asociados:

  1. Compromiso de credenciales: Acceso no autorizado a sistemas corporativos
  2. Pérdida de datos: Exfiltración de información sensible
  3. Ataques secundarios: Uso de credenciales para ataques BEC o ransomware
  4. Daño reputacional: Pérdida de confianza de clientes y socios

Indicadores de Compromiso (IOCs)

Correos electrónicos:

  • Asunto: Variable (no especificado en muestras)
  • Cuerpo: Contiene tabla HTML de 180x180 celdas
  • Formato: HTML con tabla de presentación
  • Tamaño: Aproximadamente 45x45 caracteres de tabla (180/4)

Código HTML característico:

html 

<table role="presentation" border="0" cellpadding="0" cellspacing="0" width="180" height="180" align="center">
<tr height="4">
<td width="4" height="4" bgcolor="#000000"></td>
<td width="4" height="4" bgcolor="#000000"></td>

Patrones de red:

  • Conexiones a lidoustoo[.]click y subdominios
  • Tráfico desde dispositivos móviles a URLs personalizadas

Recomendaciones de Mitigación

Técnicas:

  1. Implementar detección de tablas HTML sospechosas: Análisis de patrones de celdas que simulen códigos QR
  2. Sandboxing pre-entrega: Como implementa Proofpoint para análisis de QR codes
  3. Análisis de URLs codificadas: Extracción y verificación de URLs en contenido HTML complejo
  4. Bloqueo de dominios maliciosos: Listas negras de dominios como lidoustoo[.]click

Educativas:

  1. Concientización sobre "quishing": Entrenamiento específico sobre phishing mediante QR codes
  2. Políticas de escaneo: Instruir a usuarios para no escanear QR codes de correos no solicitados
  3. Verificación de URLs: Enseñar a inspeccionar URLs antes de autenticarse

Técnicas avanzadas:

  1. Detección basada en comportamiento: Análisis de patrones de renderizado HTML inusuales
  2. Reconstrucción de imágenes desde HTML: Conversión de tablas a imágenes para análisis de QR
  3. Validación de destino: Verificación que dispositivos móviles accedan a URLs desde correos corporativos

Herramientas de Detección

  1. Proofpoint Aegis: Con capacidades de sandboxing pre-entrega para QR codes
  2. Soluciones EDR/Email Security: Con capacidades específicas de detección de quishing
  3. Herramientas personalizadas: Basadas en BeautifulSoup + Html2Image + pytesseract
  4. QRucible Toolkit: Herramienta mencionada en DEF CON 32 para análisis de QR codes

Reglas de detección sugeridas:

  • Detección de tablas HTML con exactamente 180x180 dimensiones y celdas de 4x4
  • Patrones alternantes de colores #000000 y #FFFFFF en celdas adyacentes
  • Presencia de atributos bgcolor en tablas de dimensiones cuadradas perfectas

Referencias y Fuentes

  1. Proofpoint - "Malicious QR Code Detection Takes a Giant Leap Forward" (2023)
  2. Cloudflare Learning - "What is Quishing?"
  3. DEF CON 32 - "Evading Modern Defenses When Phishing with Pixels" (Melvin Langvik)
  4. Microsoft Tech Community - "Hunting and responding to QR code-based phishing attacks"
  5. Stripe OLT - Expert intelligence on QR code phishing detection

Historial de Revisiones

Versión Fecha Autor Cambios
1.0 2026-01-07 Jan Kopriva Análisis inicial de la campaña
1.1 2026-01-07 09:32:26 UTC Sistema Actualización con información adicional

Etiquetas / Categorías

  • #Phishing
  • #QRCode
  • #Quishing
  • #HTMLPhishing
  • #EvasionTechniques
  • #EmailSecurity
  • #SocialEngineering
  • #CredentialHarvesting
  • #TableBasedQR
  • #ImagelessQR
  • #Lidoustoo
  • #SupplyChainAttack (potencial)

Nota importante: Esta técnica demuestra que los controles de seguridad basados en suposiciones sobre la representación de contenido malicioso pueden ser eludidos. La defensa en profundidad y la continua actualización de controles técnicos y concienciación del usuario son esenciales para combatir estas amenazas evolutivas.

Obtenido de «https://darfe.es/ciberwiki/index.php?title=QRTable_Phishing&oldid=2676»