Accesso Wireless: Wi-Fi Networks (T1669)

Per simulare T1669 in un esercizio red team autorizzato, la catena tipica inizia con la ricognizione wireless passiva nell'area del target. Su Linux con scheda in modalità monitor, airmon-ng start wlan0 (open source, incluso in Aircrack-ng suite) attiva l'interfaccia, mentre airodump-ng wlan0mon cattura beacon, SSID nascosti, client associati e handshake WPA2. Per un mapping più ricco, Kismet (open source) offre logging strutturato in formato PCAP-NG e Kismet DB, utile per correlazioni successive.

L'acquisizione dell'handshake WPA2/WPA3-SAE consente il tentativo offline di crack. aircrack-ng -w wordlist.txt capture.cap esegue attacco a dizionario, mentre Hashcat (open source) con modalità -m 22000 sfrutta accelerazione GPU su hash convertiti tramite hcxpcapngtool (open source). Per reti enterprise WPA2-EAP, il tool eaphammer (open source) permette di configurare un rogue access point che presenta un certificato falso e cattura challenge MSCHAPv2, poi crackabili con Hashcat modalità -m 5500.

Lo scenario più sofisticato — quello della campagna Nearest Neighbor — richiede due fasi. La prima è la compromissione di un host nell'organizzazione adiacente al target: qui l'operatore red team può assumere un foothold iniziale e cercare interfacce wireless disponibili con netsh wlan show interfaces su Windows o iw dev su Linux. Se l'host è dual-homed ma la scheda Wi-Fi è disabilitata, netsh interface set interface "Wi-Fi" admin=enable la riattiva. La seconda fase usa credenziali del target (raccolte via phishing, password spray su OWA/M365) per associare l'host compromesso alla rete enterprise del vero obiettivo tramite netsh wlan connect name= dopo aver iniettato il profilo XML con netsh wlan add profile filename=profile.xml.

Per scenari AitM, hostapd-mana (open source) e bettercap (open source) consentono di clonare SSID legittimi e forzare downgrade di autenticazione. In laboratorio è utile combinare Responder (open source) sul segmento wireless clonato per catturare hash NTLMv2 dai client che tentano risoluzione LLMNR/NBT-NS. Tutto va condotto in RF-shielded lab o in ambienti con autorizzazione scritta esplicita, dato il rischio legale dell'interferenza radio.

Il monitoraggio di T1669 poggia su fonti di log spesso trascurate. Su Windows il canale Microsoft-Windows-WLAN-AutoConfig/Operational registra eventi di associazione, disassociazione e autenticazione. Gli EventID 8001 (connessione riuscita), 8002 (connessione fallita) e 11000-11010 (fasi di associazione EAP) sono la base per costruire alert. La detection AN1476 suggerisce di correlare questi eventi con una whitelist di SSID aziendali (KnownSSIDList) e con la geolocalizzazione attesa del sistema (GeoLocationContext): un laptop che risulta fisicamente in HQ ma si associa a un SSID sconosciuto è un segnale forte.

Su Linux le sorgenti chiave sono i log di wpa_supplicant e NetworkManager in /var/log/syslog o via journald, oltre agli eventi auditd SYSCALL per cambi di stato dell'interfaccia (ioctl su wireless extensions). La detection AN1477 raccomanda una regex whitelist degli SSID corporate e una soglia sui tentativi di associazione falliti, utile a intercettare sia rogue AP sia attacchi di deautenticazione seguiti da riassociazione. Su macOS il unified log (log stream --predicate 'subsystem == "com.apple.wifi"') e query osquery (open source) sulla tabella wifi_networks forniscono telemetria equivalente (AN1478).

Lato infrastruttura, i log del WLAN controller (Cisco WLC, Aruba Mobility Controller, Meraki dashboard) e dei sistemi WIDS/WIPS integrati sono determinanti per AN1479: rilevano rogue AP, MAC address non autorizzati, associazioni fuori orario, e — se abilitato — pattern di karma attack o SSID spoofing. Una lista AuthorizedAPList mantenuta come lookup nel SIEM permette di generare alert sui BSSID non censiti.

Dal punto di vista D3FEND, i controlli difensivi rilevanti includono Network Traffic Analysis applicata al segmento wireless, Certificate Analysis per validare che i client aziendali si autentichino solo contro certificati RADIUS emessi dalla PKI interna (mitigando eaphammer), e Inbound Session Volume Analysis per identificare ondate anomale di associazioni.

I falsi positivi più comuni sono trasferte di dipendenti (utile un feed HR con calendario viaggi), guest network legittimi non censiti, e riassociazioni frequenti dovute a copertura radio scarsa. Il tuning richiede una fase di baselining di almeno 30 giorni per stabilizzare la lista degli SSID legittimi frequentati dalla flotta mobile aziendale.

L'analisi forense di T1669 su Windows parte dall'estrazione dei profili WLAN archiviati in %ProgramData%\Microsoft\Wlansvc\Profiles\Interfaces{GUID}. Ogni profilo XML contiene SSID, tipo di autenticazione, e — per reti WPA2-PSK — la chiave cifrata con DPAPI a livello SYSTEM. Il comando netsh wlan show profiles elenca i profili, mentre netsh wlan show profile name= key=clear restituisce la chiave in chiaro se eseguito con privilegi adeguati sull'host originale.

Il canale evento Microsoft-Windows-WLAN-AutoConfig/Operational conserva una timeline dettagliata delle associazioni: SSID, BSSID (MAC dell'AP), tipo di autenticazione, esito. Confrontando i BSSID osservati con database di access point noti (es. WiGLE, freemium) l'analista può geolocalizzare le connessioni storiche del dispositivo e identificare associazioni sospette a reti non correlate all'attività del dipendente. Il registro HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles mantiene ProfileName, DateCreated e DateLastConnected per ogni rete: campo prezioso per la cronologia.

Su Linux i file rilevanti sono /etc/NetworkManager/system-connections/ (profili con PSK cifrata), /var/log/wpa_supplicant.log e journald filtrato con journalctl -u NetworkManager. Su macOS il plist /Library/Preferences/SystemConfiguration/com.apple.airport.preferences.plist registra la lista delle reti conosciute con timestamp di ultima associazione, mentre il unified log conserva eventi wifi per circa 30 giorni.

Lato artefatti D3FEND, gli elementi centrali della timeline sono Network Session (associazione wireless), Wireless Access Point (BSSID target), Certificate (nel caso di EAP-TLS), e User Account (credenziali usate per l'autenticazione 802.1X). Correlare questi artefatti tra endpoint e log RADIUS/NPS (EventID 6272-6274 su Windows Network Policy Server) consente di ricostruire chi ha autenticato quale dispositivo su quale SSID e da quale AP.

Nella campagna C0051 (Nearest Neighbor), la caratteristica forense distintiva è la presenza di attività wireless su host che teoricamente non dovrebbero mai connettersi via Wi-Fi — desktop aziendali cablati con scheda wireless integrata ma disabilitata da policy. L'esame degli eventi di abilitazione dell'interfaccia (EventID 10000 WLAN-AutoConfig, o modifiche a HKLM\SYSTEM\CurrentControlSet\Services\Wlansvc) e la comparsa improvvisa di profili WLAN in host normalmente cablati sono indicatori pesanti. Va inoltre esaminata la presenza di credenziali del target in memoria (LSASS dump) o nel Credential Manager di host appartenenti a organizzazioni terze fisicamente adiacenti.

Il panorama documentato per T1669 è dominato da un singolo attore, ma di rilevanza strategica massima. APT28 — noto anche come Fancy Bear, Sofacy, Forest Blizzard, attribuito con alta confidenza al GRU Unit 26165 dell'intelligence militare russa — ha sperimentato l'uso di reti Wi-Fi come vettore di accesso iniziale in un modo che ridefinisce il concetto di close access operation.

La campagna C0051 (Nearest Neighbor Campaign), sviluppata tra febbraio 2022 e novembre 2024, ha come target primario organizzazioni e individui con expertise sull'Ucraina. Il pattern operativo è duplice. Da un lato, APT28 ha condotto sfruttamento zero-day di CVE-2022-38028 (vulnerabilità del Windows Print Spooler) per elevazione privilegi. Dall'altro, ha innovato il modello del close access: invece di inviare operatori sul territorio — con costi, rischi e footprint diplomatico elevati — ha compromesso da remoto organizzazioni geograficamente prossime al vero target, ha individuato tra i loro host quelli dual-homed con scheda wireless disponibile, e li ha usati come pivot per associarsi via Wi-Fi alla rete enterprise dell'obiettivo finale usando credenziali valide raccolte separatamente (probabilmente via password spray su servizi esposti come Microsoft 365).

Questo pattern — soprannominato daisy-chained wireless pivot — è un'evoluzione significativa perché elimina il tradizionale controllo di geolocalizzazione IP come contromisura: il traffico verso i servizi del target proviene dalla LAN interna, non da IP russi o VPN sospette. La segmentazione fisica tra rete Ethernet e Wi-Fi, tipicamente considerata sufficiente, viene aggirata perché il ponte è un host aziendale legittimo di un vicino compromesso.

Dal punto di vista TTP overlap, APT28 combina in queste operazioni le tecniche T1078 (Valid Accounts), T1040 (Network Sniffing), T1557 (Adversary-in-the-Middle) e living-off-the-land tramite strumenti nativi Windows (netsh, wmic, PowerShell) per minimizzare gli artefatti malware. La preferenza per LOLBins riflette una maturità operativa elevata e la volontà di eludere EDR basati su signature.

Il trend prospettico suggerisce che altri attori statuali potrebbero replicare il modello nearest neighbor, particolarmente in scenari geopolitici dove il target si trova in giurisdizioni ostili all'attore. Le mitigazioni prioritarie sono M1032 (MFA) su tutti i servizi enterprise incluso l'accesso Wi-Fi 802.1X, M1030 (Network Segmentation) con separazione rigorosa tra segmenti wireless e reti che ospitano asset sensibili, e M1041 (Encrypt Sensitive Information) applicata sia al traffico wireless (WPA3-Enterprise con EAP-TLS) sia ai protocolli applicativi interni (Kerberos armoring, SMB signing, LDAP over TLS).

Dati tecnica, gruppi, campagne, mitigazioni e strategie di detection: MITRE ATT&CK (T1669, G0007, C0051, M1030, M1032, M1041, DET0536, AN1476-AN1479). Mapping difensivo consultato su MITRE D3FEND. Contenuti operativi su tool (Aircrack-ng, Kismet, Hashcat, eaphammer, hostapd-mana, bettercap, Responder, osquery), comandi netsh, canali evento WLAN-AutoConfig e artefatti forensi derivano da conoscenza professionale di cybersecurity applicata ai dati MITRE forniti.