Sammi De Blas | Knowledge Base

WiFi y BLE - auditoría con Flipper y Marauder

WiFi y BLE - auditoría con Flipper y Marauder

Pruebas de seguridad inalambrica con hardware de bajo coste: ESP32 con firmware Marauder y Flipper Zero. El objetivo es medir la resistencia real de una red propia o autorizada, y entender por qué la mayoría de las redes domesticas siguen cayendo.

Que hace Marauder

Firmware libre para placas ESP32 (incluidas las que se acoplan al Flipper) que trabaja en la capa de enlace 802.11:

  • Scan APs: inventario de puntos de acceso con canal, cifrado, RSSI y BSSID.
  • Scan Stations: clientes vistos, con su MAC y el AP al que están asociados.
  • Sniffers: captura de tramas en modo promiscuo, guardando .pcap en la tarjeta SD.
  • Ataques: deauthentication, beacon spam, evil portal, entre otros.

Sin antena externa el alcance es de metros; con una direccional de 5 dBi se multiplica, y ahi empieza el riesgo de estar auditando redes de terceros.

Inventario previo

Antes de atacar nada, inventariar. Un scan de dos minutos da el mapa: cuantos AP hay, con que cifrado, cuantos clientes y que canales están saturados.

WiFi -> Sniffers -> Scan APs        # inventario de APs
WiFi -> Sniffers -> Scan Stations   # clientes visibles
WiFi -> Sniffers -> Packet Count    # volumen de trafico por canal

Lectura de resultados:

DatoQue indica
WPA2-PSKCandidato a captura de handshake o PMKID
WPA3-SAEAtaque offline inviable; buscar configuración, no criptografia
WEP o OPENRoto por definición, hallazgo directo
Canal con muchas estacionesDonde duele una denegación de servicio
BSSID repetido con distinto canalMalla o repetidores; superficie mayor

Captura de handshake

El 4-way handshake sirve para comprobar offline si una contraseña es débil. Requiere que un cliente se conecte (o forzar reconexion) mientras se captura.

WiFi -> Sniffers -> Sniff PMKID on APs   # pasivo, sin tocar clientes
WiFi -> Sniffers -> Sniff Beacon
WiFi -> Sniffers -> Sniff Deauth         # solo si el alcance lo autoriza
SavePCAP

El .pcap se analiza en Wireshark (eapol) para confirmar que hay 4 tramas EAPOL completas. Después se convierte a formato 22000 y se prueba con Hashcat:

# pcap -> hash 22000
hcxpcapngtool -o captura.22000 captura.pcapng
 
# diccionario
hashcat -m 22000 captura.22000 rockyou.txt
 
# mascara para 8 digitos
hashcat -m 22000 captura.22000 -a 3 ?d?d?d?d?d?d?d?d

Sobre GPU, una WPA2 con diccionario común cae en minutos; una frase larga con simbolos no cae nunca con ese diccionario. La conclusión útil para el informe suele ser la política de contraseñas, no la red.

PMKID

Variante que no necesita clientes: algunos AP incluyen el PMKID en el primer mensaje de asociación, y ese valor basta para probar contraseñas offline.

  • Ventaja: silencioso y sin desconectar a nadie.
  • Limitación: no funciona en WPA3-SAE y muchos AP modernos ya no lo emiten (RFC 8110).
  • Herramientas: hcxdumptool en Linux con adaptador compatible, o el modo PMKID de Marauder.
sudo hcxdumptool -i wlan0 -w captura.pcapng --enable_status=1
hcxpcapngtool -o captura.22000 captura.pcapng

Deauthentication

Inunda con tramas de desautenticación suplantando al AP. En una red sin PMF (Protected Management Frames) expulsa a los clientes y facilita la captura del handshake.

  • En WPA3 y en redes con 802.11w activo, el ataque no funciona: las tramas de gestion van firmadas.
  • Es una denegación de servicio: en producción tira la red. Solo en laboratorio o con ventana acordada.

Evil Portal

Portal cautivo falso que suplanta el login de una red abierta. El cliente introduce credenciales y se quedan en el dispositivo.

  • Requiere un portal con plantilla creible y, para no dejar sin internet, un segundo adaptador con salida.
  • La defensa es de usuario: no autenticarse en redes abiertas y verificar el certificado.
  • Documentar el hallazgo con captura del formulario y del registro de credenciales, nunca con credenciales reales de terceros.

Bluetooth Low Energy

El Flipper cubre BLE sin necesidad de adaptador externo:

  • BLE Scan: dispositivos, dirección MAC, RSSI y nombre anunciado.
  • BLE Spam: inunda con solicitudes de emparejamiento; molesto y demostrativo, no un compromiso.
  • Análisis de dispositivos propios: comprobar que anuncia y que permite emparejar sin autenticación.

Lo relevante de BLE en auditoría no es el ataque, es el inventario: dispositivos que emiten identificadores fijos y permiten seguimiento, cerraduras sin vinculación, sensores con servicios GATT abiertos.

Defensa: que poner en el informe

  1. WPA3-SAE o WPA2 con PMF en todos los AP; deauth y PMKID dejan de ser practicos.
  2. Contraseñas de 20 caracteres o más generadas, o migrar a 802.1X con credenciales por usuario.
  3. Red de invitados aislada, sin acceso a la red interna ni a los equipos de gestion.
  4. WPS desactivado y administración del AP solo desde cable o VLAN de gestion.
  5. Inventario de BLE: identificar que dispositivos emiten MAC fija y si eso permite seguimiento.
  6. Monitorización: un IDS inalambrico detecta deauth masivo y portales falsos con reglas simples.

Escanear y atacar redes sin autorización escrita es delito en España (Ley Organica 10/1995, articulos 197 y 264). Capturar un handshake de una red ajena ya es acceso no autorizado, aunque no se llegue a descifrar.

Vista Gráfica

Retroenlaces