Una reciente campaña de phishing está abusando de los códigos QR de una forma novedosa, transformando simples tablas HTML en códigos funcionales que redirigen a los usuarios a sitios maliciosos.

En lugar de incrustar una imagen QR en el cuerpo del correo electrónico, los atacantes construyen el código a partir de cientos de pequeñas celdas de tabla, cada una con estilo en blanco o negro.

El resultado sigue siendo legible como un código QR normal, pero muchas defensas de correo electrónico no lo tratan como una imagen.

Los mensajes, vistos entre el 22 y el 26 de diciembre, siguen un diseño minimalista: un breve texto de engaño y un único bloque de código QR “comprimido” que insta a la víctima a escanearlo.

Cada código QR redirige a subdominios de lidoustoo[.]click, a menudo utilizando el propio nombre de dominio del destinatario en la ruta de la URL para parecer más convincente, como hxxps[:]///. Esta estructura ayuda a que el enlace parezca menos sospechoso a primera vista.

Los investigadores de Internet Storm Center señalaron que el código QR en sí se renderiza puramente a través de HTML, utilizando una tabla hecha de celdas de 4x4 píxeles con colores de fondo blanco y negro.

Este enfoque elude a muchos motores de inspección de QR, que están ajustados para escanear archivos adjuntos de imagen reales o datos de imagen en línea. Sin embargo, el HTML del correo electrónico parece un marcado de diseño inofensivo para los filtros de contenido simples.

En una muestra capturada, el código QR se crea utilizando un código similar al siguiente, que define una matriz densa de celdas para codificar el patrón:

<table role="presentation" border="0" cellpadding="0" cellspacing="0">
  <tr height="4">
    <td width="4" height="4" bgcolor="#000000"></td>
    <td width="4" height="4" bgcolor="#FFFFFF"></td>
    <td width="4" height="4" bgcolor="#000000"></td>
    <!-- muchas más celdas que forman el patrón QR -->
  </tr>
</table>

Evasión de la Detección Mediante Códigos QR Basados en Tablas HTML

Esta técnica de QR sin imagen explota un punto ciego en muchas pasarelas de correo electrónico seguras.

Las herramientas que pueden decodificar imágenes QR no siempre inspeccionan las tablas HTML como posibles estructuras gráficas, por lo que el patrón malicioso se desliza a través de las comprobaciones centradas en QR.

Al mismo tiempo, los filtros de contenido solo ven etiquetas estándar y atributos de color, no obvias palabras clave de phishing o hashes de imágenes.

Para los defensores, la campaña es un recordatorio de que las protecciones no pueden basarse únicamente en cómo “normalmente” se ven las amenazas. Los filtros de correo electrónico seguros deben tratar las densas cuadrículas de tablas como posibles renderizaciones de QR, aplicar análisis consciente del DOM y marcar redirecciones externas inusuales.

En paralelo, los usuarios deben ser capacitados para que escanear códigos QR de correos electrónicos no solicitados es tan arriesgado como hacer clic en enlaces desconocidos, incluso cuando el código parece simple y limpio.