Ricognizione Wi-Fi: Wi-Fi Discovery (T1016.002)
La tecnica T1016.002 — Wi-Fi Discovery descrive la raccolta di informazioni sulle reti wireless dai sistemi compromessi, tipicamente nomi (SSID), password memorizzate e dettagli delle interfacce radio. Si colloca nella tattica TA0007 (Discovery), la fase post-compromissione in cui l'attaccante mappa l'ambiente per orientarsi prima di decidere le mosse successive.
Su Windows la via maestra è l'utility nativa netsh wlan, che consente di elencare i profili salvati e di estrarre le chiavi in chiaro. Su Linux i profili di NetworkManager risiedono in /etc/NetworkManager/system-connections/ come file testuali contenenti la PSK. Su macOS la password di una rete nota si ottiene interrogando il Keychain con l'utility security. L'approccio è quasi sempre living-off-the-land: nessun binario estraneo, solo strumenti già presenti nel sistema.
L'impatto è duplice. Da un lato, le credenziali Wi-Fi diventano materiale per Account Discovery e Credential Access; dall'altro, come dimostrato dalla campagna C0051 (APT28 Nearest Neighbor Campaign), la conoscenza delle reti prossime abilita movimenti laterali fisici tramite host dual-homed (con connessione cablata e wireless) capaci di fare da ponte verso il target reale. I dati MITRE censiscono 1 gruppo APT, 5 famiglie malware e 1 campagna che sfruttano attivamente questa tecnica, con detection comportamentali codificate in DET0464 su Windows, Linux e macOS.
In un red team engagement, l'enumerazione Wi-Fi si esegue con i comandi nativi documentati da MITRE, minimizzando rumore e footprint. Su Windows la sequenza canonica è:
netsh wlan show profiles
netsh wlan show profile name="SSID" key=clear
Il primo elenca tutti i profili memorizzati, il secondo rivela la PSK in chiaro nella sezione Key Content. Per mappare le reti radio in prossimità, utili quando si valuta un pivot fisico simile al modello di C0051, i comandi netsh wlan show networks mode=bssid e netsh wlan show interfaces — gli stessi impiegati dal malware Machete (S0409) e da PUBLOAD (S1228) — restituiscono SSID visibili, BSSID, canale, segnale e stato dell'interfaccia associata.
Un payload più stealth chiama direttamente le API di wlanAPI.dll (funzioni come WlanEnumInterfaces, WlanGetProfileList, WlanGetProfile) evitando la spawn di netsh.exe e riducendo la superficie di rilevamento parent-child che il SOC monitora. Framework offensivi come Cobalt Strike (a pagamento), Sliver (open source) e Nighthawk (a pagamento) consentono di eseguire questi comandi via BOF o direttamente via API senza toccare il disco.
Su Linux con NetworkManager la lettura è banale se si dispone di privilegi root:
cat /etc/NetworkManager/system-connections/*.nmconnection
Ogni file contiene la stanza [wifi-security] con il campo psk=. In alternativa, nmcli connection show e nmcli -s connection show
Su macOS la password di una rete nota si estrae con:
security find-generic-password -wa
Il flag -w stampa solo la password, -a filtra per account/SSID. L'operazione richiede credenziali amministrative e genera un prompt grafico se eseguita interattivamente; in un contesto offensivo la si combina con tecniche di elevazione già consolidate.
Per la fase di ricognizione wireless passiva in laboratorio, la suite Aircrack-ng (open source) con airodump-ng consente di catturare beacon e probe request; Kismet (open source) aggiunge classificazione dei dispositivi. Questi tool servono per simulare lo scenario "nearest neighbor" di APT28: identificare reti bersaglio adiacenti prima di pivotare su un host dual-homed. In un esercizio autorizzato, documentare sempre BSSID e SSID raccolti nel rules of engagement per evitare sconfinamenti oltre lo scope.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo