Ataques Evil Twin y de portal cautivo

Un evil twin es un punto de acceso malicioso que transmite el mismo SSID que una red legítima. Los clientes que se conectan a él envían todo su tráfico a través del atacante, lo que permite robar credenciales, interceptar tráfico y realizar phishing.

Los clientes Wi-Fi se conectan al SSID conocido con la señal más fuerte y con parámetros de seguridad coincidentes. Al transmitir con mayor potencia (o desconectar mediante desautenticación a los clientes del AP legítimo), un evil twin puede atraer las conexiones.

Hostapd crea un punto de acceso por software. Combinado con DHCP (dnsmasq) e iptables NAT, proporciona un punto de acceso funcional que enruta el tráfico y permite interceptarlo.

airbase-ng (parte de la suite aircrack-ng) crea AP maliciosos directamente desde la interfaz en modo monitor, lo que simplifica las configuraciones básicas de evil twin.

Un portal cautivo es una página web que intercepta todo el tráfico HTTP y muestra una página de inicio de sesión; es habitual en hoteles y aeropuertos. Los atacantes crean portales cautivos maliciosos que roban credenciales o contraseñas de Wi-Fi.

Las herramientas automatizadas crean entornos completos de evil twin con portales cautivos diseñados para parecer páginas legítimas de configuración del router o de inicio de sesión del ISP.

Tradicionalmente, los ataques de evil twin se basaban en SSL stripping (sslstrip) para degradar HTTPS a HTTP. HSTS moderno y la precarga de HSTS han neutralizado en gran medida esta técnica, pero los sitios que no se han visitado o que no utilizan HSTS siguen siendo vulnerables.

Con un AP malicioso y Wireshark o Bettercap, capture todas las credenciales HTTP en texto claro, las consultas DNS que revelan los sitios visitados y los protocolos de aplicaciones sin cifrar (FTP, SMTP, POP3).

Fuerce a los clientes a conectarse a su evil twin enviando continuamente tramas de desautenticación para desconectarlos del AP legítimo. Se volverán a conectar a la señal más fuerte: su AP malicioso.

Los defensores detectan los evil twins mediante: WIDS (Wireless Intrusion Detection Systems), que comprueban la existencia de SSID duplicados en distintos BSSID; anomalías en la señal; y clientes que utilizan WPA2-Enterprise basado en certificados (inmune a los evil twins basados en PSK).

Para prevenir los evil twins, utilice WPA2/WPA3-Enterprise (EAP-TLS): incluso conectarse a un AP malicioso requiere un certificado válido; active 802.11w PMF; utilice una VPN corporativa que se conecte automáticamente cuando esté fuera de redes de confianza; e implemente WIDS para supervisar los AP.

¿Por qué WPA2-Enterprise con EAP-TLS evita el robo de credenciales mediante un evil twin?

Los ataques de evil twin aprovechan que los clientes confían en los SSID en lugar de en la identidad criptográfica. Un AP malicioso con un nombre coincidente puede interceptar tráfico, robar credenciales mediante portales cautivos y realizar ataques MitM. La defensa requiere autenticación mutua (certificados EAP-TLS), VPN corporativas y supervisión mediante WIDS, no solo contraseñas Wi-Fi robustas.