Evil Twin Wi-Fi: Access Point Fraudolenti per Intercettazione Credenziali (T1557.004)

La simulazione di un Evil Twin in ambiente autorizzato richiede hardware Wi-Fi con supporto per modalità monitor e packet injection. Le schede basate su chipset Atheros AR9271 o Realtek RTL8812AU sono lo standard de facto per i penetration test wireless, insieme al dispositivo commerciale Wi-Fi Pineapple di Hak5 (a pagamento), citato esplicitamente da MITRE nel contesto di APT28.

La suite di riferimento è Aircrack-ng (open source), che copre l'intera catena di ricognizione. Con airmon-ng start wlan0 si porta l'interfaccia in modalità monitor, mentre airodump-ng wlan0mon enumera SSID, BSSID, canali, potenza del segnale e client associati. Questi dati alimentano la fase successiva: replicare il BSSID legittimo su un canale attiguo con potenza superiore.

Per l'orchestrazione completa dell'attacco un framework consolidato è airgeddon (open source), che automatizza deauthentication, cattura handshake e deploy del captive portal. In alternativa WiFi-Pumpkin3 (open source) offre un rogue AP con moduli integrati per DNS spoofing, sslstrip e proxy trasparente. Il flusso operativo tipico in laboratorio prevede: enumerazione target con airodump-ng, deautenticazione dei client dall'AP legittimo tramite aireplay-ng --deauth 0 -a wlan0mon, avvio del rogue AP con lo stesso SSID su interfaccia dedicata, redirect DHCP+DNS verso un web server locale che serve la pagina di login clonata.

Per il vettore PNL poisoning lo strumento di riferimento è hostapd-mana (open source), una versione modificata di hostapd che risponde dinamicamente alle probe request dei client con l'SSID richiesto, sfruttando il fatto che molti dispositivi mobili continuano a cercare reti aperte precedentemente utilizzate.

Per l'intercettazione di traffico TLS in scenari dove il client accetta certificati non validi si usa mitmproxy (open source) o bettercap (open source), quest'ultimo particolarmente efficace per attacchi combinati ARP+DNS+HTTPS. Bettercap si avvia con bettercap -iface wlan0 e permette di caricare caplet per orchestrare l'intera catena.

È fondamentale operare in una gabbia di Faraday o in ambiente isolato: la trasmissione di segnali 802.11 non autorizzati è illegale nella maggior parte delle giurisdizioni. Ogni engagement deve avere autorizzazione scritta che copra esplicitamente il perimetro RF, inclusi eventuali dispositivi di terzi che potrebbero associarsi involontariamente al rogue AP.

La detection di un Evil Twin richiede visibilità sull'infrastruttura wireless controllata e capacità di identificare AP non autorizzati nelle vicinanze del perimetro fisico. Il pilastro tecnologico è il Wireless Intrusion Prevention System (WIPS), esplicitamente citato dalla mitigazione M1031 di MITRE. Soluzioni enterprise come Cisco CleanAir, Aruba RFProtect o Extreme AirDefense (tutte a pagamento) forniscono sensori dedicati che monitorano lo spettro 2.4/5 GHz alla ricerca di anomalie.

Secondo la detection DET0379 definita da MITRE, gli indicatori primari da correlare sono: presenza di AP che trasmettono un SSID corporate autorizzato con BSSID/MAC non presente nella whitelist, potenza di segnale anomala rispetto al baseline dell'infrastruttura, impostazioni di cifratura incoerenti (es. rete corporate WPA2-Enterprise duplicata come Open o WPA2-PSK), e redirect verso captive portal su domini non riconosciuti.

Le fonti di log rilevanti includono i WLAN Controller logs (evento Association/Disassociation), i flussi NSM (Network Security Monitoring) che possono mostrare pattern di traffico DHCP e DNS anomali provenienti da subnet non gestite, e il syslog dei network device che segnala rogue AP detection. Una regola di correlazione efficace incrocia quattro dimensioni: SSID (deve appartenere a KnownSSIDs), BSSID (deve essere in AllowedBSSIDs), signal strength (deviazioni oltre SignalStrengthThreshold rispetto al baseline) e dominio del captive portal (deve rientrare in CaptivePortalDomains).

Sul lato client, un segnale forte è rappresentato da tentativi di autenticazione 802.1X falliti in massa seguiti da connessioni a reti Open con lo stesso SSID: indica che i dispositivi stanno tentando di associarsi al rogue AP che non implementa correttamente EAP. I log di autenticazione RADIUS mostrano spesso pattern anomali di richiesta con username validi ma da BSSID sconosciuti.

Per il tuning è essenziale mantenere un inventario aggiornato di BSSID autorizzati per ogni sede, includendo AP di rete guest e access point temporanei per eventi. I falsi positivi principali derivano da hotspot personali dei dipendenti, AP di uffici confinanti in edifici condivisi e reti pubbliche gestite da tenant dell'immobile. Un approccio pragmatico prevede la geolocalizzazione approssimativa via triangolazione dei sensori WIPS: un AP rogue rilevato all'interno del perimetro fisico ha priorità di risposta massima rispetto a uno rilevato al confine.

A livello di hardening rientrano l'adozione di WPA3-Enterprise con Server Certificate Validation obbligatoria sui client, la disabilitazione dell'auto-join per reti Open sui dispositivi corporate via MDM e la formazione utenti prevista dalla mitigazione M1017.

L'analisi forense di un incidente Evil Twin è complessa perché la maggior parte delle evidenze risiede lato client e ha natura volatile. La priorità nella prima ora è preservare lo stato della connessione wireless del dispositivo sospetto prima di qualsiasi disconnessione o riavvio.

Su Windows gli artefatti chiave si trovano nel registro sotto HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles, che conserva GUID, SSID e timestamp di prima/ultima connessione per ogni rete a cui il dispositivo si è associato. La chiave Signatures\Unmanaged correla il profilo con il BSSID del gateway al momento della connessione, elemento cruciale per distinguere l'AP legittimo dal rogue. L'Event Log Microsoft-Windows-WLAN-AutoConfig/Operational registra gli eventi di associazione (ID 8001, 8003) con SSID, BSSID, tipo di autenticazione e cifratura utilizzata: la comparsa di un evento 8001 verso un SSID corporate con authentication Open è un indicatore forte di connessione a rogue AP.

Su Linux i log di NetworkManager in /var/log/syslog o via journalctl -u NetworkManager documentano tentativi di associazione e handshake WPA. I profili in /etc/NetworkManager/system-connections/ possono rivelare configurazioni modificate. Su macOS il file /Library/Preferences/SystemConfiguration/com.apple.airport.preferences.plist mantiene lo storico delle reti conosciute con SSID, BSSID e timestamp, mentre il log unificato accessibile via log show --predicate 'subsystem == "com.apple.wifi"' fornisce dettagli sugli eventi di associazione.

La timeline si costruisce incrociando: timestamp di associazione dal log WLAN client, timestamp di richiesta DHCP verso subnet non corporate, eventuali certificate warning nel browser (cronologia navigazione, cache di Chrome/Edge in User Data\Default\Network\Cookies e nei crash report per errori TLS), e credenziali salvate o modificate nel Credential Manager di Windows subito dopo l'associazione sospetta.

Sul fronte network, se sono disponibili PCAP dai sensori WIPS occorre isolare i frame Beacon e Probe Response con l'SSID target, estrarre i BSSID unici, e correlarli con la MAC OUI (i primi tre ottetti identificano il produttore — un Pineapple usa OUI riconducibili a chipset consumer, mentre l'infrastruttura corporate ha OUI Cisco, Aruba, Extreme). Tool utili per l'analisi PCAP wireless sono Wireshark (open source) con i filtri wlan.fc.type_subtype == 0x08 per beacon e wlan.fc.type_subtype == 0x05 per probe response, e Kismet (open source) per la ricostruzione dello scenario RF.

Per le credenziali potenzialmente compromesse, la procedura standard prevede reset immediato, revoca dei token di sessione attivi e verifica dei log di autenticazione dei servizi corporate per accessi anomali nelle ore successive all'esposizione.

Il panorama degli attori che impiegano Evil Twin come tecnica documentata è ristretto ma qualitativamente significativo. Il dato MITRE mappa a T1557.004 un unico gruppo: APT28 (G0007), noto anche come Fancy Bear, Sofacy o STRONTIUM, attribuito dalle agenzie di intelligence occidentali al servizio di intelligence militare russo GRU (Unità 26165).

L'utilizzo del Wi-Fi Pineapple da parte di APT28 rappresenta un caso paradigmatico di close-access operation: operazioni in cui operatori fisicamente presenti nelle vicinanze del target impiegano hardware dedicato per l'intercettazione wireless. Il caso pubblicamente documentato più noto riguarda le operazioni condotte nelle vicinanze di organizzazioni internazionali e agenzie governative, dove team GRU sono stati identificati mentre operavano da veicoli o edifici adiacenti alle sedi target. Questa modalità operativa segna una differenza sostanziale rispetto agli attacchi puramente remoti che caratterizzano la maggior parte dell'attività APT: richiede pianificazione logistica, presenza fisica di personale con copertura, e un profilo di rischio operativo elevato.

Il profilo di targeting di APT28 associato a operazioni wireless include: organizzazioni internazionali con mandato investigativo su interessi russi, agenzie antidoping nel contesto delle inchieste sul doping di stato, ministeri degli esteri e della difesa di paesi NATO, e think tank di politica estera. Gli obiettivi delle operazioni Evil Twin documentate sono duplici: cattura di credenziali per accesso persistente a risorse remote (mail, VPN, portali interni) e deployment di malware espionage-oriented su dispositivi che si associano al rogue AP, sfruttando eventuali download automatici o exploit browser-based serviti tramite il proxy malevolo.

Sul piano dei trend, l'Evil Twin resta una tecnica di nicchia rispetto ai vettori remoti dominanti (phishing, exploit di vulnerabilità edge), ma la sua efficacia è aumentata dalla proliferazione di dispositivi mobili corporate con Wi-Fi sempre attivo e PNL sature di reti Open utilizzate in trasferta. Il trend di adozione di WPA3-Enterprise con validazione server-side dei certificati e l'espansione di eduroam-like federation per il roaming enterprise riducono progressivamente la superficie di attacco, ma la migrazione è lenta e la coesistenza con WPA2 mantiene vulnerabilità di downgrade.

Dal punto di vista geografico, le operazioni close-access di APT28 sono state osservate in Europa occidentale (Paesi Bassi, Svizzera), Nord America e teatri di interesse strategico russo. Per il tool overlap, il Wi-Fi Pineapple è disponibile commercialmente e utilizzato anche da red team legittimi, il che complica l'attribuzione basata sul solo hardware: gli elementi distintivi restano il tradecraft (targeting, timing rispetto a eventi geopolitici, correlazione con altre TTP APT28) e la successiva attività post-compromissione.

MITRE ATT&CK: tecnica T1557.004 (Evil Twin), gruppo G0007 (APT28), mitigazioni M1017 (User Training) e M1031 (Network Intrusion Prevention), detection DET0379 con analytic AN1069. Tattiche TA0006 (Credential Access) e TA0009 (Collection). Framework MITRE D3FEND per artefatti Wireless Network e tecniche di detection Network Traffic Analysis. Il documento integra conoscenza professionale verificata su tool wireless (Aircrack-ng, hostapd-mana, bettercap, Wireshark, Kismet, Wi-Fi Pineapple) e artefatti forensi di sistemi operativi Windows, Linux e macOS.