Student Pirejskog sveučilišta izdao je novi alat za automatiziranu krađu pristupnih lozinki za WPA/WPA2 mreže uz pomoć socijalnog inženjeringa.
Iako ne donosi revolucionarne pomake, svojom dostupnošću te lakoćom automatiziranog napada na višestruke wifi mreže kombinacijama već postojećih tehnika predstavlja nezanemarivu prijetnju neopreznim korisnicima.
Alat nazvan Wifiphisher razvijen je specifično za Kali linux, popularnu linux distribuciju prvenstveno namjenjenu penetracijskom testiranju i provjeri ranjivosti sustava, temelji se na principu napada "zlog blizanca".
Alat skenira postojeću wifi mrežu te stvara lažnu mrežu kopiranjem njenih postavki. U sljedećem koraku, korisnicima se opetovano šalju deautentifikacijski paketi kako bi ih se izbacilo iz postojeće wifi mreže i spriječilo njihovo ponovno spajanje na istu. Istovremeno se izvršava i napad uskraćivanja usluge (DoS) protiv pristupne točke legitimne mreže kako bi se korisnike prisililo na ponovni odabir mreže.
Sam alat sadrži minimalni web poslužitelj koji odgovara na sve HTTP i HTTPS zahtjeve korisnika prikazivanjem phishing stranice koja obavještava o navodnoj promjeni firmware-a pristupne točke te traži ponovni unos pristupne lozinke. Na ovaj način iskorištava se neopreznost i nedostatak tehničkog znanja korisnika kako bi se zaobišlo izuzetno zahtjevno pogađanje lozinke čistom silom (brute force napad).
Kao i kod ostalih metoda napada socijalnim inženjeringom, uspješnost ovisi o neopreznosti korisnika koji će prihvatiti lažnu poruku o ažuriranju pristupne točke te unijeti svoju lozinku za pristup wifi mreži (u stvarnom slučaju, od korisnika bi se tražili ime i lozinka administratora pristupne točke, koji nisu povezani s wifi lozinkom). Jednako tako, lažna wifi mreža koju Wifiphisher kreira nema pristupnu lozinku tako da računalo obavještava korisnika o promjenama u mrežnoj konfiguraciji, dok je na Android uređajima potrebno ručno odabrati spajanje na lažnu mrežu.
Prava opasnost ovog alata ne leži u njegovim tehničkim sposobnostima - postoje napredniji alati za svaki od uključenih tehnika napada - nego u lakoći kojom i početnici mogu automatizirano izvršavati napade na veliki broj korisnika, čime se znatno povećava vjerojatnost pronalaska neopreznih žrtava.
Posljednje sigurnosne preporuke