Attacco ad una rete pubblica WiFi

Due modalità di wifi-phishing e le contromisure da mettere in atto.

Chissà quante volte ci è capitato di vedere – presso esercizi commerciali, locali o parchi pubblici – cartelli che segnalano la presenza di reti WiFi gratuite o accessibili attraverso un semplice “like” su Facebook. Con buona probabilità, ognuno di noi ha utilizzato tali servizi almeno una volta, vuoi per necessità o semplicemente per quella che oggigiorno è una naturale attitudine a rimanere connessi a internet.

Come mai allora queste reti non godono di una buona reputazione? E in che modo vengono sfruttate da utenti malintenzionati? Nel prosieguo dell'articolo analizzeremo e creeremo un tipico potenziale scenario con lo scopo di intercettare le informazioni sensibili inserite dall'ignaro utente: la classica combinazione username/password.

Dal momento che le possibilità di intercettare traffico e dati in chiaro – non crittografati dal protocollo HTTPS – mediante sniffer di rete (come wireshark, xplico, ferret) sono piuttosto scarse per via delle policy sempre più stringenti adottate da browser e sistemi operativi, ci industrieremo in un ben più efficace tentativo di phishing: l'anello debole di un sistema informatico si trova sempre davanti allo schermo!

Precisiamo che effettuare le pratiche mostrate qui di seguito al di fuori di ambienti simulati o nei confronti di soggetti non consenzienti può significare incorrere nelle prescrizioni di cui agli articoli 616, 615-ter, 615-quater, 617-sexies, 640-ter del nostro Codice Penale.

Cominciamo configurando sulla nostra distribuzione Linux uno dei framework più famosi nell'ambito degli attacchi wireless, ovvero il progetto wifiphisher: git clone https://github.com/wifiphisher/wifiphisher.git; cd wifiphisher; sudo python setup.py install. Troviamo lo strumento già preinstallato in WifiSlax, un sistema operativo dedicato al pentesting di applicazioni WiFi. Dobbiamo poi munire il nostro sistema di almeno una seconda scheda di rete WiFi che consenta l'iniezione di pacchetti e il monitor mode.

Lanciamo il programma nel suo utilizzo base con il comando sudo wifiphisher. Una prima modalità prevede la possibilità di clonare un Access point – e creare il cosiddetto Evil twin – inviando pacchetti per deautenticare tutti i client connessi in quel momento e forzarli a riconnettersi all'AP creato dal nostro script. Dopo aver modificato l'indirizzo MAC della scheda di rete attaccante, selezioniamo la rete target da clonare e uno dei quattro scenari proposti, ad esempio il numero 4 – OAuth login Page.

Un aspetto interessante di questa modalità è che il tutto avviene in maniera automatica: la vittima vedrà apparire una finestra del proprio browser che richiede l'inserimento di credenziali (in questo caso quelle di Facebook), ed ecco come il terminale del programma ci restituirà indirizzo mail e password della vittima. È possibile modificare i tag HTML della pagina web per renderla più credibile: le cartelle delle pagine HTML del server si trovano al percorso wifiphisher/data/phishing-pages.

Una seconda modalità molto efficace prevede la creazione ex novo di un hotspot WiFi aperto da lasciare attivo in attesa di un malcapitato utente alla ricerca di una connessione. Eseguiamo il programma specificando il nome della rete trappola e la pagina web dello scenario desiderato: sudo wifiphisher --noextensions --essid "FREE WIFI ICT SECURITY MAGAZINE" -p oauth-login -kB. La vittima rileverà una nuova rete e la finta maschera di login apparirà in primo piano anche su dispositivi Android.

Dopo aver visto ciò che può mettere in atto un potenziale attaccante, ci chiediamo cosa possiamo fare da internauti consapevoli. Il software ci aiuta solo parzialmente: qualche antivirus può segnalare la pericolosità di una rete, ma non fermerà l'utente in fase di inserimento delle credenziali. Nemmeno una VPN ci mette al riparo, perché l'incapsulamento del traffico avviene solo dopo la connessione all'Access point.

È invece sicuramente utile tenere aggiornati i propri browser e prestare attenzione alla compilazione automatica dei form: URL e pop-up vari devono essere sempre esaminati con la dovuta perizia, inviando i dati solo quando siamo certi del legittimo destinatario. Infine, per i siti più sensibili è consigliabile implementare il meccanismo di doppia autenticazione tramite SMS o token monouso a sei cifre generato da applicazioni per smartphone.