Hunderttausende arbeiten nach wie vor im Homeoffice, viele davon auf privaten Rechnern, die über Wi-Fi mit dem Internet verbunden sind. Erlangt ein Hacker darauf Zugriff, kann das schwerwiegende Folgen haben. Doch wie einfach ist es für Cyberkriminelle, in Drahtlosnetzwerke einzudringen? Schließlich sind die meisten ja verschlüsselt und oft auch mit vermeintlich sicheren Passwörtern geschützt.
Der Whitehat-Hacker Kody Kinzie zeigt, wie schnell und einfach man sich das Passwort von beliebigen Wi-Fi-Netzwerken besorgen kann, ohne dabei überhaupt in unmittelbarer Nähe zu sein. Mit den entsprechenden Netzwerk-Adaptern und -Antennen sind Entfernungen bis zu einigen Kilometern möglich. Alles, was man dazu noch braucht, ist ein Linux-Rechner, auf dem das Tool airmageddon installiert ist.
Mittels dieser Software können verschiedene Arten von Angriffen auf Netzwerke durchgeführt werden, wobei hierzu keine besonderen Coding-Fähigkeiten nötig sind. Der hier vorgestellte Captiv-Portal-Angriff ist dabei besonders effektiv, gerade in Homeoffice-Zeiten, in denen Nutzer beim Ausfall ihres Netzwerkes, vielleicht kurz vor einer Online-Konferenz, hastig - ohne die vertraute IT-Abteilung im Rücken- nach Lösungen suchen.
Der Angreifer wählt dabei zunächst ein Ziel aus, also ein Netzwerk in der (wie beschrieben durchaus weiteren) Umgebung. Als nächstes führt er mit diesem Netzwerk einen sogenannten Handshake aus. Hierdurch erhält er zwar nicht das Passwort, aber zumindest den Hash des Passworts. Diesen kann er mit einem vermuteten Passwort vergleichen.
Sind die Hashes gleich, hat er einen Treffer. Auf diese Weise kann er einen Brut-Force-Angriff starten, bei dem eine große Menge an Passwörtern automatisiert „ausprobiert“ werden. Oder er kann das Opfer dazu bringen, ihm sein Passwort zu verraten, es mit dem Handshake vergleichen und wenn es richtig ist, war der Angriff erfolgreich.
Aber wieso sollte das Opfer sein Passwort preisgeben? Hier kommt wieder airmageddon ins Spiel. Das Tool unterstützt Angriffe auf mehreren Sprachen und sobald man sich für eine entschieden hat, hindert es das Opfer mittels DNS Spoofing, Internetseiten aufzurufen und errichtet ein Fake-Netzwerk mit dem gleichen Namen wie das Netzwerk des Opfers.
Der Angreifer muss nun darauf bauen, dass das Opfer dieses Netzwerk auswählt, um sich wieder mit dem Internet verbinden zu können. Wenn es gestresst ist, zweimal den vertrauten Netzwerknamen sieht und es bei einem davon (dem legitimen) keine Verbindung herstellen kann, ist die Wahrscheinlichkeit dafür jedoch relativ hoch.
Verbindet sich das Opfer also mit diesem Fake-Netzwerk, fordert ihn ein scheinbar von seinem Router stammendes Fenster dazu auf, sein Wi-Fi-Passwort einzugeben. Diese Phishing-Seite ist durch den eingangs durchgeführten Handshake dabei in der Lage zu erkennen, ob das eingegebene Passwort auch korrekt ist.
Gibt das noch misstrauische Opfer also ein falsches Passwort ein, erkennt airmageddon dies und fordert es auf, das richtige Passwort einzugeben. Sobald dies geschehen ist, wird dieser Angriff gestoppt und der Computer des Opfers wird wieder mit dem ursprünglichen Netzwerk verbunden und alles läuft wieder scheinbar problemlos.
Abgesehen davon, dass der Cyberkrimineller über sein Passwort verfügt und sich nunmehr problemlos in sein Netzwerk einwählen und dort Schaden anrichten kann. Diese Angriffsmethode ist vor allem bei technisch weniger versierten Nutzern erfolgreich, die nicht unbedingt wissen, dass Router nicht nach Wi-Fi-, sondern nach Administratoren-Passwörtern fragen.
Auch ist die Gestaltung der Phishing-Seite von Bedeutung: Je vertrauter sie im Look & Feel wirkt, desto erfolgreicher wird sie sein. Wie bei vielen Angriffen, etwa auch bei Phishing-Mails, spielt (Zeit-) Druck eine wesentliche Rolle. Und dieser ist gerade bei Mitarbeitern, die das Homeoffice noch nicht so gewohnt sind, oftmals recht hoch.