Guida Evil Twin: Rete in parallelo con Airgeddon

[PwnTheWeb]

In questo articolo vedremo l' attacco "Evil Twin", che consiste nell' imitare in tutto e per tutto un AP esistente, si differenzia dal "Rogue AP" proprio per questo fatto.

• Evil Twin: imitare una rete esistente, per questo gemello cattivo
• Rogue AP: creare una rete dal nome che possa attirare persone, come "coffee-bar-free-wifi

Useremo il tool "Airgeddon" che semplifica il tutto, per fare questo tipo di attacco, in particolare l'attacco Evil Twin and captive portals;
Quest'ultimo userà questi tool:

• airodump-ng
• mdk4/aireplay
• hostapd
• DHCPD
• DNSMasq
• DSniff
• lightTPD

1. L'attacco in pratica
L'Hacker crea una rete uguale ad un'altra, stesso ssid ecc ecc solo che appena qualcuno prova a connettersi si aprirà un captive portals dove sarà richiesta la password del Wi-Fi per accedere a Internet.
In questo modo, appena viene digitata e inviata la password viene restituita all'attacante.
Occorrenti:

• Kali Linux
• Adattatore Wi-Fi che supporta la Mode Monitor e la packet injection e scheda di rete del PC o un altro adattatore, una dossera l'AP e l'altra creerà il fake AP
• Airgeddon e tool aggiuntivi

Per installarlo basta fare nella shell:

sudo apt update && sudo apt install airgeddon -y

Se viene restituito un messaggio d'errore come questo Unable to locate package airgeddon Scriviamo:

git clone https://github.com/v1s1t0r1sh3r3/airgeddon.git
cd airgeddon
./airgeddon.sh

2. Scegliere l'attacco
Dopo aver avviato il tool si presenta un menù, premiamo 7 per andare nella sezione degli attacchi Evil Twin,
Da qui scegliamo l'opzione 9, "Evil Twin AP con captive portal"

3. Scansione Wi-Fi in cerca di obbiettivi
Airgeddon inizierà una scansione con Airodump-ng in cerca di obiettivi, da questa scansione scegliamo quella da imitare, Premiamo CTRL-C per fermarla, essa verrà riportata sulla shell principale

Ogni rete è numerata, le reti con "*" sono quelle con client connessi. scegliamo la 25 (nel mio caso).

4. Denial of Service sulla rete
Scelta la rete dobbiamo catturare l'handshake (nel caso l'avessimo già catturato inseriamo il percorso del file), Possiamo o aspettare che qualcuno si colleghi alla rete per far ripetere il 4-way handshake o eseguire un Denial Of Service, Airgeddon ci offre 2 possibili tool da utilizzare:

• Aireplay-ng
• Amok mdk4

Noi usiamo Aireplay-ng, quindi digitiamo 1 e partirà l'attacci di DoS e quella di Airodump-ng dove intercetterà l'handshake.
Se l'handshake viene catturato le due shell si chiudono e viene mostrato a schermo il messaggio che la stretta di mano è stata catturata,
Il fileviene salvato nel percorso /root/handshake di default, volendo lo possiamo modificare.

5. Configurazione captive portals
Arrivati a questo punto iniziamo la configurazione del captive portal, scegliamo la lingua e iniziamo l'attacco Evil Twin, sopra sono riportate tutte le azioni fatte in precedenza
ricapitolando:

• ESSID: Wind3 HUB-7C435E
• Canale: 5
• Metodo deauth scelto: Aireplay-ng
• Handshake path: /root/handshake-B8: D5:26:7C:43:53.cap

Per la voce premiamo 8, italiano:

Appena premiamo invio l'attacco ha inizio:

Quando la password viene digitata e inviata dal captive portal sarà salvata nel file specificato prima e tutte i terminali si chiuderanno.
Come si può vedere la password è stata correttamente salvata nel file /root/evil_twin_captive_portal_password-Wind3 HUB-7C435E.txt:

./ghost

 

[Eoloprox]

Grande, che figata!

 

[Psychonaut]

Provato varie volte sul mio router, c'è un problema che fà sgamare subito l'attacco, ovvero la pagina che viene restituita alla vittima per fargli fare il fake login, se ad esempio il mio ISP è tim e mi trovo una pagina d'accesso generica capisci bene che è facile presumere che qualcosa non vada, inoltre facendo dei test con android visualizzavo la pagina, con un iphone no(premetto che era un iphone 4).

Ora non so se con airgeddon si può scegliere la pagina da inviare per l'accesso(ad esempio creo una pagina di fake login simile a quella di TIM e la invio al target, invece di una standart e generica), personalmente io per i miei test avevo usato Fluxion , che da appunto la possibilità di reindirizzare la vittima su una pagina web caricata dall'attaccante.

Inoltre ci vogliono due schede di rete, una che crea il fake AP(quella che mensionavi all'inizio) ed un'altra che dossa l'AP della vittima in modo da renderlo irragiungibile.

curiosità, perché installi due volte lo stesso tools?

sudo apt install airgeddon && airgeddon -----> in questo caso stai dicendo ad apt "installa airgeddon e dopo installa airgeddon"(&& equivale all AND logico, quindi esegui il secondo comando solo se il primo va a buon fine, mi sembra più corretto il seguente comando :

sudo apt install airgeddon -y.

L' AND logico potresti usarlo per concatenare un update prima dell'installazione del tool :

sudo apt update && sudo apt install airgeddon -y

 

[PwnTheWeb]

Provato varie volte sul mio router, c'è un problema che fà sgamare subito l'attacco, ovvero la pagina che viene restituita alla vittima per fargli fare il fake login, se ad esempio il mio ISP è tim e mi trovo una pagina d'accesso generica capisci bene che è facile presumere che qualcosa non vada, inoltre facendo dei test con android visualizzavo la pagina, con un iphone no(premetto che era un iphone 4).

Ora non so se con airgeddon si può scegliere la pagina da inviare per l'accesso(ad esempio creo una pagina di fake login simile a quella di TIM e la invio al target, invece di una standart e generica), personalmente io per i miei test avevo usato Fluxion , che da appunto la possibilità di reindirizzare la vittima su una pagina web caricata dall'attaccante.

Inoltre ci vogliono due schede di rete, una che crea il fake AP(quella che mensionavi all'inizio) ed un'altra che dossa l'AP della vittima in modo da renderlo irragiungibile.

curiosità, perché installi due volte lo stesso tools?

sudo apt install airgeddon && airgeddon -----> in questo caso stai dicendo ad apt "installa airgeddon e dopo installa airgeddon"(&& equivale all AND logico, quindi esegui il secondo comando solo se il primo va a buon fine, mi sembra più corretto il seguente comando :

sudo apt install airgeddon -y.

L' AND logico potresti usarlo per concatenare un update prima dell'installazione del tool :

sudo apt update && sudo apt install airgeddon -y

L'ho modificata ieri alla volece, semmai oggi la modifico con i tuoi consigli, grazie
In effetti ho provato anch'io da iPhone(SE) e la pagina veniva caricata un botto dopo, su Android subito, oggi provo anche com fluxion e ti dico.

Messaggio unito automaticamente: 25 Maggio 2022

Inoltre ci vogliono due schede di rete, una che crea il fake AP(quella che mensionavi all'inizio) ed un'altra che dossa l'AP della vittima in modo da renderlo irragiungibile.

Sisi, io ho usato l'atheros e la scheda di rete del mio pc

 

[Sanderson80]

La voce Evil Twin AP con captive portal risulta essere colorata di rosso e quando la seleziono restituisce l'errore Locked menu option was chosen.
Qualcuno ha idea del motivo?
Vi ringrazio

 

[PwnTheWeb]

La voce Evil Twin AP con captive portal risulta essere colorata di rosso e quando la seleziono restituisce l'errore Locked menu option was chosen.
Qualcuno ha idea del motivo?
Vi ringrazio

Vuol dire che ti mancano dei tool, quindi di conseguenza non puoi fare quel attacco, ho fatto la lista dei tool che servono a inizio discussione.