Módulo 2 Duración: 6 Horas 80% Práctica Técnica Laboratorio y Hardware

Arsenal de Pentesting y Laboratorio Personal

Configuración del host Linux/Kali, udev rules, comparativa de hardware (Proxmark3, Flipper, Chameleon), sintonización de antenas, taxonomía completa de Magic Cards Gen1a-Gen4 y sniffing pasivo.

🎯 Objetivo Operativo del Módulo:

Configurar un entorno de auditoría profesional en Linux/Kali, dominar el cliente Iceman de Proxmark3 sin dependencias fallidas, seleccionar las Magic Cards idóneas para evadir filtros de lectores y capturar tráfico RF en tiempo real sin ser detectado.

🔧 ¿Ya tienes el hardware? Pruébalo en Proxmark3 Web Studio Interfaz web independiente (Web Serial API) para ejecutar estos comandos contra tu Proxmark3 real desde el navegador — no requiere instalar nada.

📑 Índice de Contenidos del Módulo

Configuración del Entorno de Auditoría
- Reglas udev, permisos de usuario y conflicto con ModemManager
- Comparativa técnica del arsenal: Proxmark3 vs Flipper Zero vs Chameleon vs ACR122U
- Lab 2.1: Diagnóstico y sintonización de antenas (hw tune y hw status)
Taxonomía de Tarjetas Mágicas (Magic Cards Gen1a a Gen4)
- Bloque 0 y por qué los chips de fábrica lo protegen
- Puertas traseras chinas Gen1a (APDU 0x40/0x43) vs Gen2 (CUID) vs Gen4 (GDM Ultimate)
- Lab 2.2: Identificación de backdoors y filtros anti-clon (hf mf cdetect)
Sniffing Pasivo e Interceptación de Señal
- Acoplamiento espía y demodulación de envolventes Manchester / Miller
- Lab 2.3: Sniffing de un intercambio lector-tarjeta en tiempo real (hf mf sniff)

1. Configuración del Entorno de Auditoría

Un laboratorio de pentesting RFID en Linux requiere una configuración meticulosa para evitar que el kernel o servicios del sistema operativo secuestren el puerto serie virtual del hardware de radio.

🎯 Objetivos de Aprendizaje

Montar un entorno de pentesting de RFID reproducible en contenedor o máquina virtual.
Configurar reglas udev para Proxmark3 y lectores ACR122U.
Comprender la diferencia de casos de uso entre Flipper Zero (reconocimiento sigiloso) y Proxmark3 (auditoría profunda/sniffing de señal).

🔑 Conceptos Clave

Firmware Iceman Reglas udev Baud rate serie Antenas de alta vs baja inductancia

🧰 Herramientas de este Laboratorio

Kali Linux Proxmark3 Easy / RDV4 Flipper Zero Chameleon Ultra

1.1 Reglas udev y Desactivación de ModemManager

El problema más frecuente al conectar un Proxmark3 es que el demonio ModemManager intenta abrir el dispositivo pensando que es un módem 3G/4G antiguo, enviando comandos Hayes AT que corrompen el flujo o dejan el puerto /dev/ttyACM0 ocupado.

# 1. Crear el grupo de acceso a periféricos y añadir al usuario actual
sudo usermod -aG dialout,plugdev $USER

# 2. Desactivar o desinstalar ModemManager en la estación de pentesting
sudo systemctl stop ModemManager
sudo systemctl disable ModemManager
# Opcional en distros dedicadas: sudo apt purge -y modemmanager

# 3. Crear regla udev para Proxmark3 (Vid 2d2d / 9ac4)
sudo tee /etc/udev/rules.d/77-pm3-usb-device.rules > /dev/null << 'EOF'
# Proxmark3 RDV4 / Easy
ATTRS{idVendor}=="2d2d" , ATTRS{idProduct}=="504d", MODE="0660", GROUP="dialout", ENV{ID_MM_DEVICE_IGNORE}="1"
ATTRS{idVendor}=="9ac4" , ATTRS{idProduct}=="4b8f", MODE="0660", GROUP="dialout", ENV{ID_MM_DEVICE_IGNORE}="1"
EOF

# 4. Recargar el subsistema de udev
sudo udevadm control --reload-rules
sudo udevadm trigger

1.2 Comparativa Exhaustiva del Hardware de Pentesting

Dispositivo	Frecuencias	Sniffing Pasivo	Emulación Standalone	Crackeo Cripto	Uso Táctico
Proxmark3 Easy (512K)	LF (125 kHz) + HF (13.56 MHz)	✅ Excelente (Crudo)	❌ Requiere PC o PowerBank	✅ Nativo (Iceman autopwn)	El estándar del laboratorio. Máxima relación calidad/precio (~40€).
Flipper Zero	Sub-GHz + LF + HF + IR + iButton	⚠️ Muy Limitado (HF)	✅ Excelente con pantalla	⚠️ Diccionario básico	Táctico / Reconocimiento rápido en campo. Muy discreto.
Chameleon Ultra	LF + HF (Bluetooth)	✅ MF Sniffing	✅ 8 Ranuras simultáneas	✅ Vía App Android/iOS	El rey de la emulación multi-tarjeta en bolsillo.
ACR122U / PN532	HF (13.56 MHz exclusivamente)	❌ Imposible	❌ No standalone	⚠️ Parcial (libnfc/mfoc)	Económico para iniciación en software y libnfc.

⚠️ Advertencia Crítica al Comprar Proxmark3 Easy en AliExpress

En el mercado asiático se comercializan dos variantes de bajo coste del microcontrolador AT91SAM7S:
• AT91SAM7S256 (256 KB Flash): ¡OBSOLETO! El firmware moderno Iceman NO CABE en 256 KB. Para compilarlo hay que desactivar los módulos de Hardnested, FSK y simulación avanzada.
• AT91SAM7S512 (512 KB Flash): OBLIGATORIO. Soporta el 100% de los comandos y ataques modernos. Exige siempre al vendedor confirmación fotográfica del chip serigrafiado con AT91SAM7S512.

🛠️ Lab 2.1: Diagnóstico y Sintonización de Antenas con Firmware Iceman

Calibración RF

Meta del Lab: Verificar que las bobinas LC de LF y HF resuenan a sus frecuencias nominales exactas midiendo los voltajes de pico en el cliente Proxmark3.

Conexión al cliente de Proxmark3:

# Lanzar el cliente Iceman conectándose al puerto serie
pm3 -p /dev/ttyACM0

Ejecución del comando de sintonización (hw tune):

[usb] pm3 --> hw tune

# Salida esperada en el analizador de resonancia:
[=] Measuring antenna characteristics, please wait...
[+] LF antenna: 29.85 V @ 125.00 kHz
[+] LF antenna: 22.40 V @ 134.00 kHz
[+] LF optimal: 31.20 V @ 127.65 kHz
[+] HF antenna: 28.65 V @ 13.56 MHz
[+] Displaying LF tuning graph...

Interpretación de Voltajes de Pico:

LF Antenna: Debe marcar al menos > 20 Voltios en 125 kHz. Si marca < 10 V, la antena está desoldada o afectada por una superficie metálica.
HF Antenna: Debe marcar entre 15 V y 35 V a 13.56 MHz.
Regla de Oro: Nunca coloques el Proxmark3 directamente sobre una mesa metálica o encima de la carcasa de un portátil durante la lectura, ya que el plano de tierra destruirá la inductancia de la bobina.

✅ Resultado Esperado

Antenas sintonizadas correctamente sin desajuste por metales circundantes.

2. Taxonomía de Tarjetas Mágicas (Magic Cards Gen1a a Gen4)

En las tarjetas comerciales genuinas de NXP (MIFARE Classic), el Bloque 0 del Sector 0 (que almacena el UID de 4 o 7 bytes, el BCC y los datos del fabricante) está grabado físicamente por láser durante la fase de empaquetado del silicio (Wafer Fabrication). El estándar ISO 14443 bloquea las operaciones de escritura en este bloque.

Para clonar una tarjeta en un ejercicio de Red Team es indispensable utilizar Tarjetas Mágicas chinas (Magic Cards) con microcódigo modificado que permita sobreescribir el Bloque 0.

🎯 Objetivos de Aprendizaje

Diferenciar Gen1a (Backdoor commands APDU 0x40/0x43), Gen2 (CUID direct write), Gen3 y Gen4 (Ultimate Magic Card).
Detectar lectores modernos anti-clonación que envían comandos de puerta trasera para invalidar clones Gen1a.
Aprender cuándo usar una tarjeta T5577 para emular cualquier estándar de 125 kHz.

🔑 Conceptos Clave

UID Block 0 Writable Comandos Backdoor chinos Lectores con filtro anti-clon Gen1 Chip Atmel T5577

🧰 Herramientas de este Laboratorio

Magic Cards Gen1a y Gen2 Chameleon Ultra Proxmark3

┌────────────────────────────────────────────────────────────────────────────────────────┐ │ COMPARATIVA DE GENERACIONES DE MAGIC CARDS │ ├────────────────────────────────────────────────────────────────────────────────────────┤ │ │ │ GEN1a (Backdoor Chino): │ │ Comando especial: APDU 0x40 (Unlock 1) -> 0x43 (Unlock 2) │ │ Escritura directa de cualquier bloque sin conocer claves. │ │ ❌ DETECTABLE: Los lectores de seguridad envían 0x40; si la tarjeta responde ACK, │ │ el lector activa la alarma de intrusión y bloquea la puerta. │ │ │ │ GEN2 (CUID / UID Direct Write): │ │ No tiene backdoor 0x40. El Bloque 0 se escribe usando el comando estándar │ │ de escritura ISO 0xA0 tras autenticarse con la clave legítima del Sector 0. │ │ ✅ INMUNE a lectores anti-clon básicos. El lector la ve como una MIFARE normal. │ │ ❌ Si se escribe un Bloque 0 con BCC corrupto, la tarjeta queda brickeada. │ │ │ │ GEN3 (APDU Write): │ │ Sobreescritura mediante comandos APDU propietarios ISO 7816-4. │ │ │ │ GEN4 (Ultimate / GDM - Magic Card de 4ª Generación): │ │ Totalmente configurable por comandos AT/PM3. Permite activar/desactivar backdoor, │ │ simular respuestas exactas de timing, modo sombra (Shadow Mode) y cambiar ATQA/SAK. │ └────────────────────────────────────────────────────────────────────────────────────────┘

🛠️ Lab 2.2: Identificación de Puertas Traseras y Filtros Anti-Clon

Detección de Hardware

Meta del Lab: Identificar con exactitud la generación de una tarjeta desconocida usando el cliente Iceman y evaluar si pasaría desapercibida ante un lector corporativo con filtro anti-clon.

Detección de puerta trasera china (cdetect):

[usb] pm3 --> hf mf cdetect

# Si la tarjeta es Gen1a (Backdoor presente):
[+] Checking for Magic Chinese backdoor commands (APDU 0x40/0x43)...
[+] Magic capabilities : Gen 1a / backdoor card found!
[+] Writing block 0 without keys is POSSIBLE.
[!] Warning: This card will be BLOCKED by modern security readers.

# Si la tarjeta es Gen2 (CUID) o Genuina:
[-] No Chinese backdoor detected.
[+] Testing direct block 0 write with default keys (Gen2 test)...
[+] Gen2 (CUID) detected: Block 0 writable via standard 0xA0 command.

Lectura de información forense con hf 14a info:

[usb] pm3 --> hf 14a info

[+] UID: A4 1B 89 22
[+] ATQA: 00 04
[+] SAK: 08 [ MIFARE Classic 1K ]
[+] Fingerprint: NXP Originality Check FAILED (Clon no genuino de silicio)

✅ Resultado Esperado

Detección exacta del tipo de chip mágico presente en la tarjeta de prueba.

3. Sniffing Pasivo e Interceptación de Señal

El sniffing pasivo consiste en situar una bobina sintonizada dentro del campo magnético compartido entre el lector y la credencial sin emitir señal alguna (operación en alta impedancia), registrando las fluctuaciones de carga y la modulación de amplitud.

🎯 Objetivos de Aprendizaje

Entender cómo funciona la escucha pasiva (snoop/sniff) de campo electromagnético.
Capturar un intercambio de tramas ISO14443A completo.
Extraer trazas para posterior análisis forense en Wireshark.

🔑 Conceptos Clave

Sniffing inductivo Demodulación de envolvente Miller modificado vs Manchester Trazas PCAP de NFC

🧰 Herramientas de este Laboratorio

Proxmark3 RDV4 con antena Flat Wireshark HydraNFC

3.1 Demodulación de Miller Modificado y Manchester

Para descifrar la conversación, el receptor digital debe separar el canal descendente del ascendente:

Canal Downlink (Lector a Tarjeta): Modulación ASK 100% con Miller Modificado. El lector produce pausas abruptas en la portadora de 13.56 MHz (pulsos de corte de 2 a 3 microsegundos).
Canal Uplink (Tarjeta a Lector): Subportadora de 848 kHz modulada en Manchester mediante modulación de carga.

🛠️ Lab 2.3: Sniffing de un Intercambio Lector-Tarjeta en Tiempo Real

Interceptación RF

Meta del Lab: Colocar la antena del Proxmark3 tipo sándwich entre la tarjeta y el lector mural para interceptar el handshake criptográfico completo y exportar la captura a Wireshark.

Preparación del Sniffer en Proxmark3:

Coloca la antena HF del Proxmark3 pegada a la tarjeta legítima y aproxima ambas al lector del torno o puerta. Ejecuta:

[usb] pm3 --> hf mf sniff
[#] Waiting for reader signal... Press PM3 button to abort.

Al pasar la tarjeta, el lector emite el campo, la tarjeta responde y el Proxmark3 almacena las muestras de radiofrecuencia en su búfer circular SRAM interno de 40 KB.

Extracción y Decodificación del Tráfico Capturado:

# Detener la captura pulsando el botón del Proxmark3
# Visualizar la traza de tramas en pantalla
[usb] pm3 --> hf mf list

# Salida de la traza de radiofrecuencia:
  Time | Src | Resp | Data
-------+-----+------+------------------------------------------
     0 | Rdr |      | 26 (REQA)
   128 | Tag |      | 04 00 (ATQA)
   450 | Rdr |      | 93 20 (ANTICOLLISION CL1)
   612 | Tag |      | a4 1b 89 22 14 (UID + BCC)
   920 | Rdr |      | 93 70 a4 1b 89 22 14 c2 d1 (SELECT)
  1100 | Tag |      | 08 (SAK)
  1450 | Rdr |      | 60 04 (AUTH Sector 1 with Key A)
  1650 | Tag |      | 78 a2 41 9b (Nonce de la Tarjeta: nT)
  2100 | Rdr |      | e4 f1 22 09 88 1a cc bb (nR + aR cifrados con Crypto-1)

A partir del nonce de la tarjeta ($n_T$) y la respuesta cifrada del lector ($a_R$), el atacante puede derivar la clave secreta mediante criptoanálisis offline (Nested/Hardnested) sin tocar el lector nunca más.

✅ Resultado Esperado

Captura de tramas Auth con lector (Reader Nonce Nr y Card Nonce Nc).