Wireless Evil Twin

Définition

Une attaque Evil Twin WiFi consiste à créer un point d'accès (AP) rogue qui imite exactement le SSID et parfois le BSSID (adresse MAC) d'un point d'accès légitime, dans le but d'attirer des clients à se connecter à l'AP malveillant plutôt qu'au légitime. Une fois connectés à l'Evil Twin, les victimes voient leur trafic internet transiter par l'AP de l'attaquant, qui peut l'intercepter, le modifier, ou les rediriger vers des pages de capture de credentials. La mise en place d'un Evil Twin efficace combine plusieurs techniques : 1) Scanner le réseau WiFi pour identifier les SSIDs cibles et leurs caractéristiques (canal, BSSID, puissance de signal), 2) Créer un AP clone avec le même SSID et optionnellement le même BSSID (si la carte WiFi le permet), 3) Optionnellement forcer les clients à se déconnecter du vrai AP via des deauth frames (pour accélérer la reconnexion vers l'Evil Twin), 4) Capturer les authentifications (WPA2 handshakes, portails captifs), 5) Fournir un accès internet (via partage de connexion) pour que les victimes ne détectent pas anomalie. Des scénarios d'attaque Evil Twin incluent : le portail captif de phishing (créer une page de login WiFi d'entreprise capturant les credentials AD), la capture du 4-way handshake WPA2 pour le cracking offline (si l'Evil Twin utilise le même mot de passe que le vrai AP), le MitM SSL stripping sur le trafic internet des victimes, et la distribution de mises à jour logicielles malveillantes via des fausses pages de mise à jour. Des outils comme hostapd-wpe, airbase-ng, et surtout Airgeddon ou wifipumpkin3 automatisent la création et la gestion d'Evil Twin avec des portails captifs et des modules de capture de credentials.