Tiemblen supermercadistas: Cómo hackear los códigos de barra

Allá por el 2001 varias andábamos buscando alternativas para poder seguir subsistiendo. A mí nunca me faltó nada importante, pero en esos días me preguntaba cómo reemplazar los códigos de barra de unos productos por otros de las mismas características y de menor precio. Me puse entonces a averiguar un poco al respecto, sin más ánimo que divertirme comprando un filet a mitad de precio y cuestiones similares. Recuerdo que cuando estaba en un supermercado buscando cómo implementar esa idea, vi que alguien reemplazaba las etiquetas. Me acerqué y bastaron un par de miradas para saber que esa persona buscaba lo mismo que yo, pero ya sabía cómo hacerlo. Fue una gran sensación. El país estaba en pésimas condiciones, las nenas lloraban de hambre en la tele, no había casi trabajo y todas esas cosas que ojalá no pasen de nuevo, pero que se avizoran con el gobierno de gerenciamiento antipopular que encabeza Mauricio Macri.

La anécdota anterior, termina ahí, luego de intercambiar algunas palabras con mi eventual compañera, me di cuenta de que necesitaba otro hardware y mucha más voluntad de la que pensaba aportar al proyecto en caso de que quisiera tener éxito. Más que cambiar etiquetas, me parecía mejor hackear la base de datos de la que toman los precios las cajas, de esa manera, demorarían en notar el cambio, y además, todas las personas que compraran durante el tiempo que les lleve notarlo se verían beneficiadas del hackeo, y no sólo yo (porque beneficiarme yo era lo que menos me importaba, adoraba el desafío del hackeo pero no sus resultados). No sé a vos, pero a mí me dio fiaca tanto esfuerzo para terminar pagando más barato y me pareció preferible no comprar, y buscar mejores alternativas. Además, eso de andar cambiando precios, no me gustaba como actividad, aunque sí la de hackear supermercados.

Hace poco el blog Help Net Security, difundió algunos vídeos manados de la cuenta de Twitter de Yang Yu, fundadora e investigadora de Xuanwe Lab, que forma parte del holding chino Tencent. En los vídeos se comprueba cómo es posible hackear una computadora mediante códigos de barras especiales, al punto de que puede instalarse malware o realizar casi cualquier tipo de operaciones. BadBarcode es el nombre que recibió el hackeo y fue presentado en PanSec, una conferencia del rubro en Tokyo.

Los códigos de barra funcionan de manera muy simple y son muy fáciles de generar. Hay muchas tecnologías que por antiguas no son mantenidas y prácticamente no llaman la atención de quienes velan por la seguridad de los supermercados. Y ya sabemos que actualmente es más simple y divertida la ingeniería social que el desarrollo de software, bah, al menos eso opina esta redactora.

El asunto es que cualquier persona puede crear sus propios códigos de barra. Existen decenas de aplicaciones gratuitas para eso en la red, e incluso existe una fuente para procesadores de texto que es útil para esa práctica. El problema reside en el protocolo que utilizan las pistolas o escáneres que se usan para leer los códigos. Si estas son compatibles con Code 128, además de poder presentar caracteres numéricos, son capaces de leer caracteres ASCII y ahí se pone divertido el asunto.

Combinar teclas especiales como Ctrl o Alt y cualquier carácter ASCII nos sirve para activar combinaciones de teclas de acceso rápido que -por ejemplo- arrojen por resultado la apertura de una ventana de comandos del sistema operativo, el inicio de programas, lanzamiento de aplicaciones o la ejecución de instrucciones críticas.

Un punto bastante divertido del tema, es que este hackeo es bastante sencillo, tanto como generar los códigos e imprimirlos. De hecho, hasta es divertida la idea de dejar puesto uno de estos códigos en algún producto y luego sentarnos a ver qué pasa cuando alguien lo lleve a la línea de cajas. Pero no son sólo los supermercados los que usan códigos de barra, el sistema nacional que utiliza el gobierno nacional para perseguir a las personas (SIBIOS), las estaciones de servicios, los hospitales, los shoppings, muchos estacionamientos utilizan estos códigos y están expuestos a hackeos. Crear un DNI con BadBarcode tal vez sirva para tirar abajo una aduana entera (sobre todo en pasos integrados como los que tenemos en el paso a Chile que existe en Mendoza).

Aquí un vídeo en el que se demuestra la práctica.

One of the demos of our talk «BadBarcode: How to hack a starship with a piece of paper». See you in PacSec 2015. pic.twitter.com/tu8XZjegHP

— Yang Yu (@tombkeeper) noviembre 9, 2015

 

Yang Yu colgó varios vídeos al respecto en su cuenta de twitter . Es bastante interesante que el problema no se encuentre en explotar una vulnerabilidad sino en todo el desarrollo tecnológico, pues está en todas las pistolas lectoras de código de barra que funcionan como emuladoras de teclado (que según dicen por ahí son casi todas las pistolas que existen en el mundo). Por esto es bastante complicado el descubrimiento y una gran invitación para hacer justicia con estas corporaciones que viven de la extorsión, el sobreprecio y la especulación de remarcar los insumos con los que vivimos a diario.

Si estás buscando por dónde empezar a hackear, ya tenés una buena punta para hacerlo.

¡Happy Hacking!