Guaruseando el WIFI de un vecino con la Teofiberry y algunas pinceladas de talento.

Hace un año cuando me encontraba a la mitad de temporada de ciencia en la cancha de Boca, vivía con mi hermano y tuvimos la necesidad de mudarnos al último piso de una torre de un conjunto residencial relativamente nuevo. En dicha torre, el proveedor de servicio de Internet que quería contratar mi hermano aún no había hecho las conexiones necesarias para aprovisionar la misma con el servicio. En esa ocasión, mi amigo barranquillero Ernesto Macausland me prestó temporalmente un adaptador Wi-Fi con una antena poderosa y de nivel que me permitió explotar con una cuota de teofilismo la vulnerabilidad que ahora les presento en este post y que en últimas me dió internet de un par de vecinos cachas del conjunto.

Dicha vulnerabilidad está relacionada con los PINs empleados en WPS (Wi-Fi Protected setup) y es aprovechada por un ataque de fuerza bruta en un espacio de búsqueda reducido y relativamente pequeño. Como resultado de un ataque exitoso, no sólo se obtiene el PIN ofrecido como un feature del WPS sino que se compromete el passphrase empleado para generar las PSK (pre-shared key) empleadas por los protocolos de seguridad WPA/WPA2 (Wi-Fi Protected Access) en su modalidad WPA-PSK.

En esta ocasión no cuento con un adaptador WiFI con una antena de nivel, pero si con la Teofiberry (una Raspberry Pi 3) y con un buen pingüino a bordo. La víctima del ataque es un vecino cercano y es importante aclarar que mi propósito es meramente académico y busca únicamente compartir conocimiento.

Antes de iniciar el ataque es importante conocer si el adaptador Wi-FI a emplear soporta el modo monitor. Para ello podemos hacer uso del comando: iw list.  También es importante instalar las herramientas aircrack-ng y reaver.

Una vez validado que el adaptador soporte el modo monitor,  procedemos a activar dicho modo en la interfaz de red correspondiente a nuestro adaptador WI-FI. En el caso de mi Teofiberry, la interfaz de red es wlan0. Por lo cual se activa el modo monitor con privilegios de root:

airmon-ng start wlan0

Esto creará una interfaz de red nueva que se utilizará posteriormente para rastrear los paquetes. En este caso he obtenido la interfaz wlan0mon. El nombre de la interfaz puede variar según el driver y el adaptador utilizado, algunos nombres comunes son también: prism0 o mon0.

Luego se obtiene información de las redes disponibles y en particular de la red que nos interesa atacar, para ello se puede hacer uso de herramientas como wash o airodump-ng de la suite aircrack-ng. Dentro de la información relevante encontramos la dirección MAC del AP (Access Point) de la red que nos interesa y su canal de transmisión. Para ello, se ejecuta por ejemplo:

wash -i wlan0mon

Finalmente, se lanza el ataque con la herramienta reaver, especificando la dirección MAC del access point y el canal para facilitar el intercambio de mensajes necesarios durante el ataque como se muestra a continuación:

reaver -i wlan0mon -b 60:14:B3:8D:FC:D0  -vv -c 1 -m 00:11:22:33:44:55 --no-nacks -d 5

En la figura anterior, se observa como tras varios intentos de PINs, se obtiene el PIN secreto y se revela el passphrase empleado para autenticarse en la red.

Es importante mencionar que cada access point puede requerir el uso de parámetros adicionales, como por ejemplo:  --no-nacks (para no efecturar el envio de mensajes NACKs cuando se reciben mensajes inútiles durante el ataque) y  --delay para ajustar un tiempo de espera entre intentos por PINs, entre muchos otros disponibles.

Para evitar comentarios tontrones y mohametadas de parte de la audiencia, finalmente muestro que las credenciales obtenidas me permiten conectarme al AP del vecino, jejejejeje.