Un gruppo di ricercatori ha scoperto una vulnerabilità nello standard WiFi 802.11 che permette di intercettare il traffico e dirottarlo verso un dispositivo controllato dai cybercriminali. Cisco ha confermato il problema di sicurezza, sottolineando però che le informazioni ottenute hanno un valore minimo se la rete è correttamente configurata.
MacStealer: attacco contro access point WiFi
L’attacco che consente di intercettare il traffico è stato denominato MacStealer (non è correlato al malware per macOS). I frame WiFi sono composti da header (intestazione), dati e trailer (coda) che includono varie informazioni, tra cui gli indirizzi MAC di sorgente e destinazione. I frame sono ordinati in code e trasmessi in modo da evitare collisioni e massimizzare le prestazioni, monitorando gli stati idle/occupato del dispositivo ricevente.
Lo standard WiFi 802.11 prevede meccanismi di risparmio energetico per i frame destinati a dispositivi dormienti. Quando il dispositivo entra in “sleep mode” invia all’access point un frame per indicare il suo stato, quindi tutti i frame vengono accodati. Quando il dispositivo si risveglia, l’accesso point toglie i frame dalla coda, applica la crittografia e li trasmette.
Un malintenzionato può falsificare l’indirizzo MAC (spoofing) di un dispositivo e inviare all’access point il frame che indica lo stato sleep, bloccando l’invio dei dati. Successivamente può trasmettere un frame di risveglio per ricevere i dati destinati al dispositivo originario. Il traffico è cifrato, ma è possibile forzare l’access point ad inviare i dati in chiaro o cifrati con la chiave del cybercriminale.
Utilizzando il tool MacStealer è possibile aggirare l’isolamento dei client e intercettare il traffico. Questo tipo di attacco potrebbe essere usato per iniettare codice JavaScript infetto nelle connessioni HTTP e sfruttare le vulnerabilità del browser. Al momento non sono stati rilevati attacchi.
Ti potrebbe interessare
30 mar 2023