SquarePhish adlı gelişmiş bir kimlik avı aracı, QR kodlarını OAuth Cihaz kodu kimlik doğrulama prosedürüyle birleştiren bir yöntem kullanır.
SquarePhish’in e-posta modülünü kullanan bir saldırgan tarafından bir hedefe kötü amaçlı bir QR kodu e-postası gönderilebilir. Standart mazeret, mobil e-posta kullanmaya devam etmek için mağdurun Microsoft MFA kimlik doğrulamasını yükseltmesi gerektiğidir. Microsoft Authenticator Uygulaması, kullanımda olan geçerli müşteri kimliğidir.
Kurban daha sonra e-posta gövdesinde bulunan QR kodunu taramak için bir akıllı telefon kullanacaktır. Kurban, e-posta hesabına ayarlanmış bir URL parametresi ile QR kodu aracılığıyla, SquarePhish’in sunucu modülünü çalıştıran saldırganın sunucusuna gönderilir.
Kurban kötü amaçlı SquarePhish sunucusuna eriştiğinde, OAuth Cihaz Kodu kimlik doğrulama prosedürünü başlatarak ve orijinal Microsoft Cihaz Kodu web sayfasına girilmesi gereken üretilmiş bir Cihaz Kodunu kurbana e-postayla göndererek ikincil bir işlem başlatılır (bu, OAuth Cihaz Kodu akışını başlatır 15 -dakika zamanlayıcı).
Kurban daha sonra akıllı telefonunda SquarePhish URL’sine erişecek, e-postadaki bağlantıya tıklayacak veya Microsoft Cihaz Kodu kimlik doğrulama sitesine bir yönlendirme alacaktır.
Verilen Cihaz Kodunu girdikten sonra kurbandan izin istenecektir. Kurban kimlik doğrulaması yaptıktan ve izin verdikten sonra, yerel olarak bir kimlik doğrulama belirteci tutulur ve istenen uygulamanın belirtilen kapsamı aracılığıyla saldırgana erişim sağlar.
Şu anda risk altyapısı uzmanı ve araştırmacı olarak çalışan bilgi güvenliği uzmanı.
Risk ve kontrol süreci, güvenlik denetimi desteği, iş sürekliliği tasarımı ve desteği, çalışma grubu yönetimi ve bilgi güvenliği standartları konularında 15 yıllık deneyim.