ESP32 Marauder: Guida agli Attacchi Wi-Fi/Bluetooth via GUI e utilizzo della CLI

L’ESP32 Marauder è un firmware per dispositivi ESP32 pensato per il penetration testing su reti Wi-Fi e Bluetooth. Offre un’interfaccia grafica (GUI) su schermo per eseguire vari attacchi e strumenti di analisi, oltre a una modalità CLI (Command Line Interface) accessibile via seriale per un controllo completo. In questa guida approfondita vedremo tutti gli attacchi disponibili tramite GUI, spiegandone il funzionamento tecnico in modo chiaro e “user-friendly”, e illustreremo come accedere e utilizzare la CLI. L’obiettivo è insegnare come funziona ogni attacco – dal Wi-Fi Beacon Spam al Bluetooth Spam – senza semplificare eccessivamente, fornendo anche esempi pratici.

Per chi volesse ho scritto una guida dettagliata alla creazione del vostro personale ESP32 Marauder.

Nota: Gli attacchi descritti vanno utilizzati solo in ambienti controllati e con autorizzazione, ad esempio per test di sicurezza su proprie reti. Interferire con reti o dispositivi altrui senza permesso può essere illegale.

Attacchi Wi-Fi tramite interfaccia grafica

Gli attacchi Wi-Fi del Marauder implicano la trasmissione attiva di pacchetti Wi-Fi artigianali (specially crafted) per ottenere certi effetti​. Nel menu della GUI essi sono raggruppati sotto la sezione WiFi > Attacks, disponibile sui dispositivi Marauder con schermo integrato​. Di seguito elenchiamo uno per uno gli attacchi Wi-Fi disponibili, con il percorso di menu, la spiegazione del loro funzionamento e come utilizzarli:

• Beacon Spam List

• Beacon Spam Random

• Rick Roll Beacon

• Evil Portal

• Probe Request Flood

• Deauth Flood

• AP Clone Spam

Per alcuni di questi attacchi è necessario prima preparare dei target (liste di SSID o access point) utilizzando le funzioni di scansione del Marauder, come vedremo nelle descrizioni.

Beacon Spam List

Percorso nel menu: WiFi > Attacks > Beacon Spam List​.
Funzione: Questo attacco inonda l’aria con frame Beacon utilizzando una lista di SSID predefiniti dall’utente. In pratica, l’ESP32 trasmette segnali che pubblicizzano reti Wi-Fi fasulle i cui nomi (SSID) sono quelli presenti in una lista configurata.

Dettagli tecnici: Il firmware Marauder genera i frame beacon in modo dinamico: parte da uno scheletro di 128 byte e inserisce ogni SSID della lista nel campo appropriato del pacchetto​. Ogni frame beacon contiene l’ESSID (nome rete) e un indirizzo MAC sorgente/BSSID fittizio. I pacchetti vengono ciclicamente trasmessi per tutti gli SSID in elenco (ciascuno ripetuto 3 volte)​. Questo fa sì che, sui dispositivi nelle vicinanze, compaia un lungo elenco di reti Wi-Fi con quei nomi. Ad esempio, possiamo generare SSID come "FreeWifi1", "FreeWifi2", ecc., aggiungerli alla lista e lanciare l’attacco per farli comparire a raffica su telefoni e PC vicini.

Preparazione e utilizzo: Prima di avviare Beacon Spam List bisogna popolare la lista di SSID. Lo si può fare in GUI tramite le opzioni Add SSID o Generate SSIDs​. Una volta creata la lista, avviando l’attacco il Marauder trasmette beacon per ognuno degli SSID. L’attacco prosegue finché non viene interrotto manualmente. Beacon Spam List si interrompe toccando lo schermo (nei modelli con TFT) oppure eseguendo il comando CLI stopscan​.

Effetti pratici: I dispositivi nelle vicinanze vedranno nella lista delle reti Wi-Fi tutti i nomi specificati. Il Marauder inoltre monitora attivamente se qualche client tenta di connettersi a queste reti fasulle: cattura i probe request con destinazione pari a uno degli SSID trasmessi​. In caso di tentativo di connessione, sul display verranno mostrati dettagli come RSSI, canale, MAC sorgente del client e quale SSID (rete fasulla) ha cercato. Tutte queste richieste di connessione vengono salvate anche su SD card in un file PCAP per analisi successive​. Questo rende Beacon Spam List utile non solo per “riempire” l’elenco reti dei device, ma anche per testare se vi sono dispositivi che agganciano automaticamente certi nomi di rete (ad esempio dispositivi configurati per connettersi a “WiFi Gratis” potrebbero inviare probe e rivelarsi).

Beacon Spam Random

Percorso nel menu: WiFi > Attacks > Beacon Spam Random.
Funzione: Simile al precedente, questo attacco trasmette frame beacon in massa ma con SSID generati casualmente e inviati al massimo rate possibile​. Lo scopo è saturare l’elenco reti dei dispositivi vicini con decine o centinaia di access point inesistenti, usando nomi di fantasia sempre diversi.

Dettagli tecnici: Come per Beacon List, i frame beacon vengono costruiti a partire da un modello di base​. In Beacon Random, però, il campo SSID viene riempito con stringhe casuali di lunghezza fissa e anche il BSSID (l’indirizzo MAC trasmesso) è randomico ad ogni frame​. Il Marauder trasmette questi beacon in rapida sequenza (mostra anche a schermo il numero di pacchetti al secondo)​. Il risultato è un bombardamento di segnali: chi scansiona le reti vedrà comparire continuamente nuovi nomi mai visti. Ciò può mandare in confusione l’utente e anche alcuni dispositivi, sovraccaricandoli di informazioni inutili.

Utilizzo: Beacon Spam Random non richiede alcuna configurazione preventiva (non serve una lista SSID manuale). Basta selezionarlo nel menu e avviarlo. L’attacco continua finché l’utente non tocca lo schermo interrompendolo​. È un metodo immediato per testare come un dispositivo reagisce a un ambiente affollato di SSID spazzatura. Ad esempio, può essere usato in dimostrazioni per far vedere come uno smartphone rilevi all’improvviso decine di reti chiamate con stringhe casuali (spesso simboli o sequenze alfanumeriche senza senso).

Rick Roll Beacon

Percorso nel menu: WiFi > Attacks > Rick Roll Beacon.
Funzione: È un attacco scherzoso in cui il Marauder trasmette beacon Wi-Fi tali da far comparire, sui dispositivi nelle vicinanze, le frasi del ritornello di “Never Gonna Give You Up” (la celebre canzone di Rick Astley, meme di “Rickroll”). In pratica, gli SSID delle reti fasulle compongono il testo della canzone​.

Dettagli tecnici: Anche qui la logica è simile agli altri beacon spam. Il Marauder ha codificato nel firmware il testo della canzone e suddivide i versi in chunk inseriti come nome rete (ESSID) nei frame beacon​. I BSSID sono generati casualmente e i frame inviati in sequenza rapida, in modo che nell’elenco reti appaiano più voci, ognuna contenente una porzione di testo (es: “Never Gonna”, “Give You Up”, etc.). Se molti SSID vengono visualizzati contemporaneamente, l’utente può leggere il messaggio completo scorrendo la lista. Anche qui il dispositivo mostra a schermo il rate di trasmissione dei pacchetti e permette di interrompere l’attacco toccando lo schermo​.

Utilizzo ed effetti: Rick Roll Beacon non ha uno scopo “pratico” se non la dimostrazione creativa delle capacità di beacon spam. Si lancia direttamente dal menu senza configurazione. In uno scenario reale, potrebbe essere usato per fare un prank in un ufficio o conferenza – all’improvviso tutti vedono la rete Wi-Fi con il testo di Never Gonna Give You Up. Dal punto di vista tecnico, mostra come è possibile controllare il contenuto degli SSID trasmessi a piacimento, al punto da veicolare messaggi testuali.

Evil Portal

Percorso nel menu: WiFi > Attacks > Evil Portal (talvolta indicato come Evil AP).
Funzione: Questo attacco crea un falso access point aperto e vi associa un captive portal malevolo (da cui “evil portal”). In pratica, il Marauder si comporta come un hotspot Wi-Fi libero e, quando un client si collega e prova a navigare, lo reindirizza a una pagina web fasulla con form di login, per rubare credenziali o altri dati inseriti​.

Dettagli e meccanismo: Una volta avviato, l’Evil Portal avvia un access point ESP32 (SSID predefinito, ad esempio “MarauderPortal”, oppure configurabile) e un web server locale​. Ogni volta che un dispositivo vittima si connette a questo AP e richiede una pagina web, il server risponde sempre con una pagina di phishing – tipicamente una schermata di login con campi username e password fittizi​. All’utente può sembrare una normale pagina di accesso (ad esempio al Wi-Fi pubblico). Se il malcapitato inserisce delle credenziali, queste vengono immediatamente mostrate sul seriale, sullo schermo del Marauder e salvate nei log. È un classico attacco di tipo “captive portal” utilizzato per il phishing in reti Wi-Fi aperte.

Utilizzo pratico: Evil Portal non richiede preparazione di liste o target come gli attacchi precedenti. Si seleziona nel menu e il Marauder inizierà a pubblicizzare la rete Wi-Fi fasulla. Spesso l’SSID scelto è qualcosa di invitante (es. FreeWiFi, Hotel_WiFi ecc.) per attirare le vittime. Non appena qualcuno si collega e tenta di aprire un sito, scatta il reindirizzamento. Questo attacco è molto invasivo, ma utile per testare la consapevolezza degli utenti: in un contesto autorizzato, ad esempio un audit di sicurezza, si può verificare quanti inserirebbero password su un portale non sicuro. L’attacco può essere interrotto inviando il comando stopscan via CLI oppure toccando lo schermo (sui modelli con TFT)​.

Probe Request Flood

Percorso nel menu: WiFi > Attacks > Probe Req Flood​.
Funzione: Invece di agire fingendo access point, questo attacco simula un comportamento da client Wi-Fi malizioso: l’ESP32 Marauder invia in modo massivo probe request mirate a specifici access point. Lo scopo è generare traffico di risposta dai router e potenzialmente disturbare le comunicazioni o analizzare le reazioni degli AP sotto stress​.

Come funziona: Normalmente un dispositivo wireless, quando cerca reti conosciute, invia probe request con il nome della rete desiderata; l’AP corrispondente risponde con un probe response. L’attacco Probe Request Flood sfrutta questo meccanismo: il Marauder deve prima ottenere una lista di target (gli AP bersaglio) usando la scansione Wi-Fi integrata. Tramite l’opzione Scan APs si cerca le reti disponibili, quindi con Select APs si selezionano una o più reti da colpire. Avviando l’attacco, il Marauder scorre la lista dei target inviando continuamente probe request per ognuno​. I pacchetti probe generati contengono l’ESSID di ogni AP selezionato (inserito dinamicamente nel frame)​. Ogni access point riceve quindi richieste di probe come se un client nelle vicinanze stesse cercando di connettersi a lui, e risponderà con normali probe response.

Effetti e note: Se l’attacco funziona, chi cattura i pacchetti (ad esempio con Wireshark) dovrebbe vedere numerosi probe response inviati dai target, segno che l’AP sta rispondendo al flood di richieste​. Questo può causare un leggero degrado del servizio sulle reti colpite – l’AP impiega risorse a rispondere a client inesistenti – anche se non si tratta di un DoS completo. L’efficacia dell’attacco cala se si scelgono troppi target contemporaneamente, poiché il Marauder dovrà dividere il tempo tra più SSID e quindi ogni singolo AP riceverà meno richieste al secondo. Per massimizzare l’impatto conviene focalizzarsi su pochi AP alla volta. L’attacco continua finché non viene interrotto (tap sullo schermo). A livello pratico, Probe Flood può essere usato per testare la stabilità di un router sotto molte richieste di associazione o per far emergere eventuali problemi di gestione del buffer di richieste.

Deauth Flood

Percorso nel menu: WiFi > Attacks > Deauth Flood​.
Funzione: È uno degli attacchi Wi-Fi “classici”: il Marauder invia un gran numero di frame di deautenticazione rivolti agli AP target, con l’intenzione di disconnettere i client da quelle reti​. In altre parole, simula il comportamento di un router che “espelle” tutti i dispositivi connessi.

Preparazione e funzionamento: Anche qui, prima di lanciare l’attacco bisogna selezionare uno o più access point come bersaglio (tramite scansione e Select APs). Deauth Flood agisce prendendo ciascun AP selezionato e inviando frame di deauth con: indirizzo sorgente = MAC dell’AP, destinazione = broadcast (ff:ff:ff:ff:ff:ff)​. Questo specifico formato indica a tutti i client di quell’AP che devono disconnettersi immediatamente. Il Marauder cicla su ogni AP nella lista e trasmette raffiche di deauth. Anche per questo attacco vale la nota che troppi target in lista lo rendono meno efficace (perché il tempo e il numero di pacchetti per AP diminuisce)​. Durante l’esecuzione, sullo schermo viene mostrato il rate di trasmissione dei deauth frame, utile per capire l’intensità dell’attacco.

Effetti sui client: Ogni dispositivo connesso agli AP bersaglio che riceve questi frame li interpreterà come un comando legittimo del router e dunque chiuderà la connessione (disassociazione). Dal punto di vista dell’utente, il Wi-Fi sembrerà cadere improvvisamente. Spesso i dispositivi cercheranno di riconnettersi automaticamente, ma se il flood continua verranno immediatamente cacciati di nuovo, rendendo impossibile l’uso della rete finché l’attacco è in corso. Questa tecnica è usata, ad esempio, per forzare handshake di riconnessione al fine di catturare i pacchetti di autenticazione (utile in test di cracking WPA) o per negare temporaneamente il servizio (DoS leggero). Sul Marauder l’attacco viene terminato toccando lo schermo. Per maggiori dettagli sul funzionamento dei deauth frame, si può vedere anche la pagina di Wikipedia sui deauthentication attack​.

Nota: Il Marauder via CLI supporta anche varianti più mirate di deauth (ad esempio attacchi mirati a specifici client, o con MAC manualmente impostati)​. Tuttavia tramite GUI l’opzione principale è il flood generico sugli AP selezionati. Le modalità avanzate sono accessibili in modalità CLI (come vedremo più avanti).

AP Clone Spam

Percorso nel menu: WiFi > Attacks > AP Clone Spam​.
Funzione: Questo attacco crea copie multiple di un access point reale, facendole apparire tutte contemporaneamente nell’elenco reti. In sostanza l’ESP32 Marauder clona l’SSID di uno o più AP e ne trasmette tanti duplicati, come fossero tante reti distinte ma con lo stesso nome​.

Come si usa: Bisogna prima effettuare una scansione delle reti (Scan APs) e poi selezionare quale AP si vuole clonare (Select APs)​. Si possono selezionare anche più nomi; ad esempio potremmo scegliere di clonare la rete “MyHomeWiFi”. Avviando AP Clone Spam, il Marauder inizierà a trasmettere beacon copiando esattamente il nome degli AP target (e in generale imitando i parametri base). Il risultato è che, quando un dispositivo vicini aggiorna la lista delle reti, vedrà lo stesso SSID ripetuto più volte come se ci fossero tanti AP “gemelli”​. Queste copie hanno ovviamente MAC address diversi dall’originale, altrimenti sarebbero indistinguibili; di fatto, il Marauder trasmette su quello stesso canale wireless fingendosi tanti router con lo stesso nome.

Effetti e scenari d’uso: La presenza di SSID duplicati può confondere sia gli utenti sia i dispositivi. Un utente potrebbe non sapere qual è la rete Wi-Fi giusta a cui connettersi, vedendo ad esempio cinque “MyHomeWiFi” identiche. Alcuni device potrebbero tentare di connettersi a una di queste copie (che però non fornirà effettivamente la connessione). AP Clone Spam è dunque utile per test di rogue AP o per valutare come un client gestisce SSID duplicati. Non avendo handshake né crittografia, è un attacco più innocuo dal punto di vista dell’accesso (non permette di entrare nella rete target), ma crea rumore nell’etere e potenziali disagi. Si ferma con un tap sullo schermo.

Di seguito, per chiarezza, riassumiamo in tabella gli attacchi Wi-Fi disponibili via GUI:

(Legenda: AP = Access Point; SSID = nome rete Wi-Fi; DoS = Denial of Service)

Attacchi Bluetooth tramite interfaccia grafica

Oltre al Wi-Fi, l’ESP32 Marauder include una serie di attacchi mirati al protocollo Bluetooth Low Energy (BLE). Sono accessibili dal menu Bluetooth > Bluetooth Attacks​ Molti di questi sfruttano vulnerabilità specifiche di alcuni dispositivi (es. iPhone, PC Windows, telefoni Samsung), mentre altri generano semplicemente traffico BLE anomalo. Vediamo in dettaglio gli attacchi Bluetooth disponibili via GUI:

• Sour Apple

• Swiftpair Spam

• Samsung BLE Spam

• Flipper BLE Spam

• BT Spam All

• Spoof Airtag

Nota: Questi attacchi BLE rientrano nel comando generico blespam del Marauder (con diversi parametri) e nella funzione Spoof Airtag. In GUI sono già preconfigurati, mentre via CLI possono essere lanciati con opzioni come vedremo.

Sour Apple

Percorso nel menu: Bluetooth > Bluetooth Attacks > Sour Apple​.
Vulnerabilità sfruttata: Sour Apple è un exploit scoperto di recente (da ECTO-1A, portato su ESP32 da RapierXbox) che causa il crash degli iPhone con iOS 17 tramite pacchetti BLE malformati o in quantità eccessiva​. Il nome gioca su “Apple” perché prende di mira specificamente dispositivi Apple, rendendo l’esperienza agrodolce.

Come funziona: Quando l’attacco è attivo, l’ESP32 Marauder genera e invia continuamente dei segnali BLE che sfruttano la vulnerabilità in iOS17. Tecnicamente, si tratta di spam di attività Bluetooth che l’iPhone non riesce a gestire, portando a un crash del sistema (freeze o riavvio del telefono)​. I dettagli precisi dei pacchetti inviati non sono pubblicati nel wiki, ma è chiaro che si tratta di un bug exploit lato Apple. Durante l’attacco, il Marauder può non mostrare molto a schermo a parte l’indicazione che è in corso; l’effetto si manifesta sul dispositivo bersaglio.

Scenario pratico: Immaginiamo di avere un iPhone con iOS17 nelle vicinanze: avviando Sour Apple, dopo qualche istante quel telefono potrebbe bloccarsi o riavviarsi improvvisamente. Questo è utile per test di robustezza (o purtroppo per condurre un denial-of-service mirato contro utenti Apple). L’attacco si interrompe toccando lo schermo del Marauder, tornando così al menu. In CLI, il comando corrispondente è blespam -t apple​.

Swiftpair Spam

Percorso nel menu: Bluetooth > Bluetooth Attacks > Swiftpair Spam​.
Obiettivo: Questo attacco prende di mira la funzione Swift Pair di Windows (introdotta in Windows 10 e presenti anche in Win11), che mostra automaticamente notifiche quando un device Bluetooth in pairing mode è nelle vicinanze. Swiftpair Spam genera falsi dispositivi BLE in modalità associazione, bombardando i PC Windows con notifiche di richiesta di pairing​.

Funzionamento: Il Marauder invia pacchetti BLE che simulano la presenza continua di dispositivi pronti all’accoppiamento tramite Swift Pair. Utilizza MAC address casuali per far credere che ci siano decine di device differenti​. Ogni volta, un PC Windows nelle vicinanze riceverà un popup del tipo “Vuoi configurare <nome dispositivo>?” ripetutamente. La ricerca e sviluppo di questo exploit è stata condotta da @Spooks4576, che ha anche contribuito ad integrarlo nel Marauder​.

Utilizzo ed effetti: Una volta avviato Swiftpair Spam, qualsiasi computer Windows con Swift Pair attivo verrà tempestato da notifiche di pairing, una dietro l’altra, rendendo difficile l’uso normale della macchina finché l’attacco prosegue. È un attacco di nuisance (disturbo) piuttosto che di accesso o furto dati, ma efficace nel dimostrare come è possibile sfruttare feature di usabilità (come l’associazione rapida) in modo malevolo. Anche questo attacco si arresta con un tap sullo schermo. In modalità CLI corrisponde al comando blespam -t windows​– ad esempio, eseguendo tale comando su CLI, vedremo sul PC Windows apparire notifiche di “Accoppiamento dispositivo Bluetooth” ripetute.

Samsung BLE Spam

Percorso nel menu: Bluetooth > Bluetooth Attacks > Samsung BLE Spam.
Obiettivo: Scoperto anch’esso da Spooks4576, questo attacco sfrutta una vulnerabilità nei telefoni Samsung relativa alla gestione dell’accoppiamento con smartwatch o wearable via BLE. Il risultato è che il dispositivo bersaglio (uno smartphone Samsung moderno) riceve talmente tante richieste di associazione BLE (simulando un Samsung Watch) da diventare quasi inutilizzabile durante l’attacco​.

Meccanismo: Il Marauder, quando Samsung BLE Spam è attivo, trasmette pacchetti BLE come se molti orologi o dispositivi Samsung stessero tentando di accoppiarsi col telefono. La specificità di Samsung sta nel protocollo proprietario di pairing rapido con i wearable (es. tramite l’app Galaxy Wearable). Inondando il telefono con quelle richieste, l’interfaccia OneUI di Samsung potrebbe mostrare notifiche continue o l’app di gestione potrebbe subire rallentamenti pesanti. Il wiki nota che il dispositivo colpito viene reso “near useless” (quasi inutilizzabile) finché l’attacco è in corso​.

Utilizzo ed effetti: Dal lato Marauder, basta avviare l’attacco dal menu; non è richiesta configurazione. Sul telefono Samsung target, l’utente vedrà probabilmente finestre o notifiche di richiesta di pairing a raffica, o il sistema potrebbe diventare lento. L’attacco serve a evidenziare questa falla di sicurezza nei sistemi Samsung e come un attaccante potrebbe sfruttarla per fare un DoS momentaneo. Si interrompe toccando lo schermo del Marauder​. Via CLI, il comando equivalente è blespam -t samsung​.

Flipper BLE Spam

Percorso nel menu: Bluetooth > Bluetooth Attacks > Flipper BLE Spam​.
Funzione: Questo attacco non sfrutta una vulnerabilità specifica, ma simula la presenza di molte unità Flipper Zero nei dintorni. Il Flipper Zero è un noto gadget multifunzione (che include BLE); il Marauder genera dati casuali (MAC, nome dispositivo, UUID) e li trasmette come se fossero annunci di Flipper Zero diversi.

Dettagli: In modalità Flipper BLE Spam, l’ESP32 manda in broadcast pubblicità BLE usando nomi compatibili con quelli del Flipper (es. “Flipper X”, con vari identificativi univoci) e MAC differenti, cambiandoli continuamente​. Per un dispositivo che esegue una scansione BLE (ad esempio un telefono con app BLE scanner), sembrerà di rilevare molti Flipper Zero nei paraggi. Non c’è un attacco “dannoso” in senso stretto, è più che altro un test o un divertissement per saturare l’ambiente di dispositivi fittizi.

Scenari d’uso: Flipper Spam potrebbe essere impiegato in una dimostrazione per far credere di avere una “armata” di Flipper attorno, oppure per confondere qualcuno che sta cercando un Flipper Zero specifico via BLE. Non genera pop-up come Swiftpair (perché il Flipper non usa Swift Pair), ma crea rumore nel canale BLE. Si termina toccando lo schermo. Il comando CLI per lanciarlo è blespam -t flipper​.

BT Spam All

Percorso nel menu: Bluetooth > Bluetooth Attacks > BT Spam All​.
Funzione: Come suggerisce il nome, BT Spam All esegue contemporaneamente tutti gli attacchi BLE disponibili sul Marauder​. È una sorta di “modalità caos” che combina Sour Apple, Samsung Spam, Swiftpair Spam, ecc. in un unico comando.

Come funziona: In GUI basta attivarlo e il Marauder avvierà in parallelo lo spamming verso iPhone, PC Windows e Samsung. Ciò significa che chiunque abbia uno di quei dispositivi potrebbe sperimentare i sintomi: gli iPhone crashano, i PC Windows mostrano notifiche Swift Pair continue, i Samsung vanno in tilt con pairing di orologi. Naturalmente, facendo tutto insieme la concentrazione su un singolo target è minore rispetto ad eseguire un attacco dedicato, ma consente di colpire eterogeneamente più dispositivi. Dal punto di vista tecnico, è come se il Marauder chiamasse internamente blespam -t apple, blespam -t samsung e blespam -t windows uno dietro l’altro in loop (e probabilmente anche Flipper Spam se incluso).

Utilizzo: BT Spam All può essere utile in un test di robustezza multi-piattaforma – ad esempio, in un ambiente con vari device, si attiva questa modalità per vedere la reazione simultanea. Va usato con ancora più cautela vista la vasta portata. L’arresto, come sempre, avviene con lo schermo touch o col comando stopscan​. In CLI il comando è blespam -t all​.

Spoof Airtag

Percorso nel menu: Bluetooth > Bluetooth Attacks > Spoof Airtag​.
Funzione: Spoof Airtag consente di clonare digitalmente un Apple AirTag. Il Marauder, dopo aver catturato i dati di un AirTag reale, può riprodurli inviando gli stessi identici annunci BLE, facendosi passare per quell’AirTag​. Questo può servire per testare i meccanismi anti-tracciamento di Apple o per studi sulla sicurezza dei tag BLE.

Preparazione e funzionamento: Per usare Spoof Airtag occorre prima usare l’apposita funzione di sniffing (Airtag Sniff) per intercettare il segnale di un AirTag autentico vicino​. Il Marauder registrerà i dati di quell’AirTag (in particolare il suo UUID e altri parametri che Apple utilizza). Una volta che i dati sono in memoria, l’opzione Spoof Airtag li prenderà e inizierà a trasmetterli tale e quali tramite l’ESP32​. Agli occhi di un iPhone, il Marauder sar� quell’AirTag: infatti l’iPhone vedrà due dispositivi con lo stesso identificativo (il vero tag e il clone). Poiché Apple implementa cambi periodici dell’identificatore sugli AirTag per sicurezza, il wiki avverte che appena l’AirTag reale aggiorna i suoi dati, il Marauder risulterà desincronizzato (non più un clone esatto)​. In pratica, la copia funziona per un periodo limitato, poi va rigenerata ripetendo la sniffata.

Utilizzo pratico: Dal menu, dopo aver sniffato, basta selezionare Spoof Airtag e scegliere quale AirTag (tra quelli sniffati) clonare. Il Marauder inizierà l’emissione: a questo punto un iPhone nelle vicinanze potrebbe segnalare la presenza di un AirTag sconosciuto (se il clone si muove con l’utente e l’originale no) – riproducendo le condizioni di un AirTag da stalking. Questo è molto utile per verificare il funzionamento delle notifiche anti-inseguimento di Apple o per fare PoC di possibili falsi positivi/negativi. Per l’uso via CLI, bisogna prima usare il comando list (che elenca i tag sniffati con un indice) e poi spoofat -t <index> per clonarne uno. L’attacco si ferma con stopscan o toccando lo schermo​.

Riassumiamo gli attacchi Bluetooth in una tabella riepilogativa:

(Target indica il tipo di dispositivo colpito prevalentemente dall’attacco.)

Modalità CLI: accesso e utilizzo dei comandi

Oltre alla comoda interfaccia su schermo, l’ESP32 Marauder mette a disposizione un’interfaccia a riga di comando (CLI) completa​. Questo significa che collegando il Marauder a un computer (o smartphone) via seriale/USB, è possibile inserire comandi testuali per eseguire tutte le funzioni e gli attacchi visti sopra, spesso con maggiore controllo e automazione. Vediamo come accedere alla CLI e qualche esempio di comando utile:

Accesso alla CLI

Tutti i dispositivi con firmware Marauder (inclusi i modelli con schermo) hanno la CLI attivabile tramite la porta seriale (UART). Se l’hardware dispone di una porta USB, basta connetterlo al PC con un cavo; altrimenti si possono usare i pin TX/RX con un adattatore USB-seriale o, nel caso particolare della scheda Wi-Fi del Flipper Zero, attraverso il bridge UART del Flipper​.

Una volta collegato, si apre un terminal seriale (ad esempio PuTTY su Windows, o un’app seriale su Android) configurando la porta COM corretta e il baud rate a 115200 bps​. Stabilita la connessione, si può digitare il comando help seguito da Invio: il Marauder risponderà elencando tutti i comandi disponibili. Questo elenco include categorie come WiFi Scanning/Sniffing (es. scanap, sniffdeauth), WiFi Attacks (attack), comandi Bluetooth (blescan, blespam, etc.), gestione liste (select, clearap, listap), e generali (reboot, info)​. Ad esempio, vedremo in output una cosa simile:

A questo punto possiamo iniziare a inviare comandi per utilizzare le funzionalità. La regola generale è che ogni funzione della GUI corrisponde a uno o più comandi CLI. In alcuni casi, la CLI offre opzioni aggiuntive non disponibili via menu, permettendo operazioni più avanzate o mirate.

Utilizzo dei comandi CLI

Vediamo qualche esempio pratico di utilizzo della CLI, collegandoli agli attacchi spiegati in precedenza:

• Eseguire scansioni e selezioni: Si può avviare una scansione delle reti Wi-Fi con scanap (access point) e scansta (client/stazioni). I risultati vengono numerati e mostrati in console. Poi, per preparare un attacco, possiamo selezionare bersagli usando select <id> dove <id> è l’indice dell’AP o stazione individuata in scan (si possono selezionare più ID separati da virgola). Ad esempio, dopo scanap potremmo fare select 3 per mirare la terza rete trovata​. Comandi come listap mostrano la lista attuale di target selezionati, clearap la pulisce​.

• Lanciare un attacco Wi-Fi: Il comando generico è attack. Fornendo parametri con -t (type) si specifica il tipo di attacco: beacon, deauth, probe, rickroll​. Ad esempio, per replicare Beacon Spam List via CLI dovremmo assicurarci di avere caricato una lista di SSID (tramite comandi addssid o genssid, equivalenti alle voci GUI Add SSID e Generate SSIDs). Poi basterà: attack -t beacon -l per avviare il beacon spam con la lista, oppure attack -t beacon -r per la variante random​. Similmente, attack -t rickroll attiverà il Rick Roll Beacon​, e attack -t probe il Probe Request Flood​. Per il Deauth Flood, sarà sufficiente attack -t deauth (che prende i target selezionati con select)​. La CLI consente anche di specificare opzioni aggiuntive, ad esempio attack -t deauth -c per colpire non solo gli AP selezionati ma anche le stazioni associate a quegli AP (deauth mirato combinato)​. Inoltre c’è la modalità manuale: attack -t deauth -s <MAC_AP> -d <MAC_vittima> consente di inviare frame deauth con indirizzi a scelta – utile per fare test su dispositivi non scoperti dalla scansione automatica, o per casi particolari.

• Comandi per attacchi Bluetooth: Come visto, tutti gli attacchi BLE risiedono sotto il comando unico blespam. Questo comando accetta il parametro -t (target/type) che può essere apple, windows, samsung, flipper o all a seconda dello spam da eseguire​. Quindi, ad esempio: blespam -t apple lancerà l’attacco Sour Apple (crash iPhone)​; blespam -t windows il Swiftpair Spam su PC​; blespam -t all equivale a BT Spam All​. Questi comandi non richiedono altre opzioni: si mandano in esecuzione e proseguono finché non si digita stopscan per fermarli (lo stesso vale per l’equivalente Wi-Fi di stop, che ferma scansioni/attacchi attivi)​.

• Spoof Airtag via CLI: È leggermente più articolato: prima si usa blescan -t airtag oppure l’apposito comando di sniff (a seconda di come è implementato nel firmware, il wiki suggerisce l’uso di Airtag Sniff in GUI, per CLI potrebbe esserci un comando dedicato). Dopodiché, il comando chiave è spoofat. Digitando list si ottiene l’elenco degli AirTag catturati con un indice​. Quindi spoofat -t 0 (se l’indice dell’AirTag target è 0) farà partire la trasmissione clonata di quell’AirTag​. Anche qui stopscan ferma il tutto quando si vuole.

Usare la CLI può sembrare inizialmente più complesso rispetto alla GUI, ma offre maggiore flessibilit�. Ad esempio, si possono copiare/incollare comandi per eseguire in sequenza operazioni (script manuale), oppure accedere a funzioni non presenti nei menu (come la deauth mirata manuale citata sopra). Inoltre, su hardware senza schermo (come alcune board ESP32 economiche o la Flipper Zero WiFi Dev Board), la CLI diventa l’unico modo di usare il Marauder​.

In sintesi, la modalità GUI del Marauder è ottima per un uso diretto “sul campo” con lo schermino, mentre la CLI permette un controllo totale e automatizzabile del dispositivo. Spesso, durante un test, si può preparare l’attacco da CLI e poi osservare i risultati in tempo reale su un laptop (ad esempio monitorando con Wireshark o con lo stesso output seriale). Marauder rende disponibili entrambe le interfacce, così l’utente può scegliere la più adatta alla situazione.

Conclusione

Abbiamo esplorato tutti gli attacchi implementati nell’ESP32 Marauder accessibili tramite la GUI, comprendendo il loro funzionamento tecnico e come impiegarli in pratica. Dal flood di beacon Wi-Fi (sia mirati che casuali) ai captive portal malevoli, dai pacchetti di deautenticazione ai vari trucchetti via BLE contro telefoni e PC, il Marauder offre un arsenale completo per chi vuole testare la sicurezza delle reti wireless. Grazie alla nostra panoramica, ora sappiamo cosa fa ciascun attacco (e come farlo partire in sicurezza) e abbiamo anche gettato uno sguardo alla modalità CLI, che estende ulteriormente le capacità del dispositivo con comandi testuali e ulteriori opzioni​.

In un contesto user-friendly, la GUI del Marauder permette anche ai meno esperti di eseguire questi attacchi con pochi tap, mentre chi è più esperto apprezzerà la CLI per scriptare e personalizzare ogni aspetto. In ogni caso, l’ESP32 Marauder si conferma uno strumento potente e versatile per imparare, sperimentare e mettere alla prova le reti Wi-Fi e Bluetooth, sempre ricordando di farlo in maniera etica e responsabile. Buon ethical hacking e buoni esperimenti con il vostro Marauder!

se il contenuto ti è piaciuto supporta DeafSuite!