Ataques Evil Twin e de Portal Cativo

Um gêmeo malicioso é um ponto de acesso não autorizado que transmite o mesmo SSID que uma rede legítima. Os clientes que se conectam a ele enviam todo o tráfego pelo atacante, permitindo a coleta de credenciais, a interceptação de tráfego e o phishing.

Os clientes de Wi-Fi se conectam ao SSID conhecido com o sinal mais forte e os parâmetros de segurança correspondentes. Ao transmitir com potência maior (ou realizar a desautenticação dos clientes do AP legítimo), um gêmeo malicioso pode atrair conexões.

O Hostapd cria um ponto de acesso de software. Em conjunto com DHCP (dnsmasq) e NAT do iptables, ele fornece um ponto de acesso funcional que roteia o tráfego e permite a interceptação.

O airbase-ng (parte do conjunto de ferramentas aircrack-ng) cria APs não autorizados diretamente a partir de uma interface em modo monitor, o que simplifica configurações básicas de gêmeo malicioso.

Um portal cativo é uma página da web que intercepta todo o tráfego HTTP e apresenta uma página de autenticação, como é comum em hotéis e aeroportos. Os atacantes criam portais cativos não autorizados que coletam credenciais ou senhas de Wi-Fi.

As ferramentas automatizadas criam ambientes completos de gêmeo malicioso com portais cativos projetados para se parecer com páginas legítimas de configuração de roteadores ou de autenticação de ISP.

Os ataques de gêmeo malicioso tradicionalmente dependiam do rebaixamento de SSL (sslstrip) para reduzir HTTPS a HTTP. O HSTS e o pré-carregamento do HSTS praticamente eliminaram esse problema, mas sites não visitados ou sem HSTS continuam vulneráveis.

Com um AP não autorizado e o Wireshark ou o Bettercap, capture todas as credenciais HTTP em texto simples, as consultas DNS que revelam os sites visitados e os protocolos de aplicativos não criptografados (FTP, SMTP, POP3).

Force os clientes a se conectarem ao seu gêmeo malicioso enviando continuamente quadros de desautenticação para desconectá-los do AP legítimo. Eles se reconectam ao sinal mais forte, que é o do seu AP não autorizado.

Os defensores detectam gêmeos maliciosos por meio de: WIDS (sistemas de detecção de intrusão sem fio), que verificam SSIDs duplicados em BSSIDs diferentes; anomalias de sinal; e clientes que usam WPA2-Enterprise baseado em certificados, imune a gêmeos maliciosos baseados em PSK.

Para evitar gêmeos maliciosos, utilize WPA2/WPA3-Enterprise (EAP-TLS): até mesmo a conexão a um AP não autorizado exige um certificado válido; ative o PMF 802.11w; utilize uma VPN corporativa que se conecte automaticamente quando você estiver fora de redes confiáveis; e implante WIDS para monitorar APs.

Por que o WPA2-Enterprise com EAP-TLS impede a coleta de credenciais por um gêmeo malicioso?

Os ataques de gêmeo malicioso exploram o fato de os clientes confiarem mais nos SSIDs do que na identidade criptográfica. Um AP não autorizado com um nome correspondente pode interceptar o tráfego, coletar credenciais por meio de portais cativos e realizar ataques de MitM. A defesa exige autenticação mútua (certificados EAP-TLS), VPNs corporativas e monitoramento por WIDS, não apenas senhas fortes de Wi-Fi.