QR sem imagem: PhishU implementa quishing renderizado por texto

Quishing é uma técnica de phishing que usa códigos QR. A PhishU implementou QR renderizado por texto em sua estrutura para avaliações de phishing autorizadas: o código QR está visualmente presente, mas o e-mail não contém nenhum objeto de imagem.

Pesquisadores da Kaspersky observaram códigos QR construídos com caracteres Unicode em ataques de phishing reais. A PhishU inicialmente reproduziu essa abordagem, mas no Gmail Mobile os caracteres foram esticados, tornando o código QR impossível de escanear. Os desenvolvedores então mudaram para uma tabela HTML composta por células pretas e brancas.

Isso introduziu seus próprios problemas: a marcação inicial tinha cerca de 230 KB, enquanto o Gmail corta mensagens em cerca de 102 KB, e o Outlook recoloriu células brancas para cinza no modo escuro. Mesclar células adjacentes da mesma cor usando colspan reduziu a marcação para 50–65 KB, enquanto uma correção separada resolveu a recoloração do modo escuro do Outlook.

Como resultado: marcação HTML → QR visual → câmera escaneia → imagem o scanner não tem objeto de imagem para analisar O código QR ainda pode conter um link exclusivo para cada destinatário.

Por que isso funciona A proteção contra quishing geralmente segue este pipeline: encontrar uma imagem → detectar o código QR → decodificar a URL → verificar o link QR renderizado por texto não tem tag <img>, anexo ou imagem incorporada. Se a segurança de e-mail verifica códigos QR apenas em objetos de imagem, o código pode passar despercebido. Bloquear imagens remotas também não ajuda: o código QR é renderizado diretamente da marcação do e-mail e permanece visível mesmo quando as imagens estão desativadas.

Se um Secure Email Gateway renderiza completamente o e-mail e verifica sua saída visual em busca de códigos QR, ele também pode detectar essa variante. A técnica funciona principalmente contra sistemas onde a análise de QR é acionada somente após um objeto de imagem ser encontrado — efetivamente seguindo a lógica: «sem imagem → sem QR».

Artigo: https://phishu.net/blogs/blog-text-rendered-qr-phishing-in-the-phishu-framework.html