Большинство современных устройств запоминают название Wi-Fi сети, к которой они успешно подключались хотя-бы один раз, и сразу же соединяются с ней, если «увидят» её в беспроводном эфире. Эту фичу беспроводных технологий всё чаще и чаще используют злоумышленники — создают т.н. rogue AP (поддельную точку доступа). Такие атаки с каждым годом становятся всё масштабнее, учитывая постоянно увеличивающийся рынок BYOD-устройств и количество критичной информации, содержащейся на них.
Задача злоумышленника сводится к «поднятию» клона сети, к которой у потенциальной жертвы может быть сконфигурирован доступ (как с зашитой, так и без). Также, при наличии рядом легитимной точки доступа, злоумышленник может попытаться ее «погасить», чтобы перенаправить клиентов на свою точку доступа.
После успешного соединения с точкой доступа злоумышленник реализует один или несколько векторов атаки, в том числе и с применением социотехнических тактик:
-«классические» Man in the Middle атаки, перехват данных;
-«сложные» Man in the Middle атаки — sslstrip, обход HSTS и SSL-pinning и т.д.;
-модификация трафика (подмена URL, содержимого);
-страница доступа к роутеру/веб-панели для ввода пароля, captive-портала;
-поддельный Radius для перехвата MS-CHAPv2 хешей (многие из пользователей легко «принимают» поддельный или недоверенный сертификат);
-прямые атаки на устройства в одном сегменте сети.
Инструментарий
На сегодняшний день существует довольно многих утилит для проведения такого рода атак, ниже представлено краткое описание наиболее популярных из них.
Mdk3 — утилита, содержащая несколько технологий деаутентификации клиента и техник атаки точки доступа, приводящих к её «зависанию» (DoS) или перезагрузке.
Посмотреть вложение 8443
Mana toolkit — это модифицированный hostapd (программная точка доступа) и несколько скриптов, которые позволяют создавать и использовать поддельные точки доступа: KARMA-атака; различные виды MitM-атак; обход HSTS; захват cookies; перехват EAP.
Посмотреть вложение 8444
Wifi phisher — предназначена для фишинговой атаки на WiFi сети в целях получения паролей от точки доступа и другой персональной информации. Этот инструмент основан на атаке социальной инженерии.
Посмотреть вложение 8445
Wifi pumpkin — инструмент создаёт поддельную точку доступа Wi-Fi, при этом влияет на легитимную точку доступа (отключает клиентов). Может использоваться для захвата учётных данных с помощью Man in the Middle атак, также использует такие атаки как (в том числе и социтехнические): DHCP Starvation; фишинг; Windows Update; обход HSTS; прозрачный прокси и т.д.
Посмотреть вложение 8446
Linset — утилита, сочетающая в себе поддельную точку доступа и социотехническую составляющую. Инструмент интересный, но требует некоторых доработок.
Посмотреть вложение 8447
Bdfproxy — инструмент позволяет «на лету» видоизменять бинарные файлы, например для внедрения вредоносного функционала или бэкдоров. Функционал прекрасно работает с разного рода update-сервисами, поставляющих обновления в виде исполняемых файлов.
Waidps — средство обнаружения атак в Wi-Fi сетях. Это многоцелевой инструмент, созданный для аудита сетей, обнаружения беспроводного вторжения (атаки WEP/WPA/WPS) а также предотвращения вторжения (остановка связи станции с точкой доступа). Кроме этого, программа собирает всю информацию об окружающих Wi-Fi сетях и сохраняет в базе данных.
Посмотреть вложение 8448
Способы защиты
Самый кардинальный — выключить Wi-Fi адаптер.
Профилактические — включить «подтверждение подключения» даже к известным сетям; использовать VPN; проводить мониторинг эфира для выявления аномалий; не использовать критично-важные программы (например банк-клиент) в открытых сетях.
Задача злоумышленника сводится к «поднятию» клона сети, к которой у потенциальной жертвы может быть сконфигурирован доступ (как с зашитой, так и без). Также, при наличии рядом легитимной точки доступа, злоумышленник может попытаться ее «погасить», чтобы перенаправить клиентов на свою точку доступа.
После успешного соединения с точкой доступа злоумышленник реализует один или несколько векторов атаки, в том числе и с применением социотехнических тактик:
-«классические» Man in the Middle атаки, перехват данных;
-«сложные» Man in the Middle атаки — sslstrip, обход HSTS и SSL-pinning и т.д.;
-модификация трафика (подмена URL, содержимого);
-страница доступа к роутеру/веб-панели для ввода пароля, captive-портала;
-поддельный Radius для перехвата MS-CHAPv2 хешей (многие из пользователей легко «принимают» поддельный или недоверенный сертификат);
-прямые атаки на устройства в одном сегменте сети.
Инструментарий
На сегодняшний день существует довольно многих утилит для проведения такого рода атак, ниже представлено краткое описание наиболее популярных из них.
Mdk3 — утилита, содержащая несколько технологий деаутентификации клиента и техник атаки точки доступа, приводящих к её «зависанию» (DoS) или перезагрузке.
Посмотреть вложение 8443
Mana toolkit — это модифицированный hostapd (программная точка доступа) и несколько скриптов, которые позволяют создавать и использовать поддельные точки доступа: KARMA-атака; различные виды MitM-атак; обход HSTS; захват cookies; перехват EAP.
Посмотреть вложение 8444
Wifi phisher — предназначена для фишинговой атаки на WiFi сети в целях получения паролей от точки доступа и другой персональной информации. Этот инструмент основан на атаке социальной инженерии.
Посмотреть вложение 8445
Wifi pumpkin — инструмент создаёт поддельную точку доступа Wi-Fi, при этом влияет на легитимную точку доступа (отключает клиентов). Может использоваться для захвата учётных данных с помощью Man in the Middle атак, также использует такие атаки как (в том числе и социтехнические): DHCP Starvation; фишинг; Windows Update; обход HSTS; прозрачный прокси и т.д.
Посмотреть вложение 8446
Linset — утилита, сочетающая в себе поддельную точку доступа и социотехническую составляющую. Инструмент интересный, но требует некоторых доработок.
Посмотреть вложение 8447
Bdfproxy — инструмент позволяет «на лету» видоизменять бинарные файлы, например для внедрения вредоносного функционала или бэкдоров. Функционал прекрасно работает с разного рода update-сервисами, поставляющих обновления в виде исполняемых файлов.
Waidps — средство обнаружения атак в Wi-Fi сетях. Это многоцелевой инструмент, созданный для аудита сетей, обнаружения беспроводного вторжения (атаки WEP/WPA/WPS) а также предотвращения вторжения (остановка связи станции с точкой доступа). Кроме этого, программа собирает всю информацию об окружающих Wi-Fi сетях и сохраняет в базе данных.
Посмотреть вложение 8448
Способы защиты
Самый кардинальный — выключить Wi-Fi адаптер.
Профилактические — включить «подтверждение подключения» даже к известным сетям; использовать VPN; проводить мониторинг эфира для выявления аномалий; не использовать критично-важные программы (например банк-клиент) в открытых сетях.
