MITM con Bettercap y Wireshark: análisis defensivo en laboratorio
Un ataque de intermediario, o MITM, intenta situar a un tercero entre dos extremos para observar o alterar su comunicación. Para investigarlo, compara evidencias de red con la configuración esperada: una IP duplicada, un fallo TLS o una respuesta DNS extraña son indicios que requieren contexto, no pruebas automáticas de un ataque.
Esta guía se limita al análisis defensivo de equipos y redes propios o con autorización expresa. Utiliza un laboratorio aislado con datos ficticios. No necesitas ejecutar suplantación ni interceptar las comunicaciones de otras personas para aprender a interpretar una captura.
Qué cambia cuando la conexión está cifrada
Un intermediario no puede leer automáticamente el contenido de una conexión TLS correctamente autenticada. Puede existir observación de metadatos o interrupción del servicio sin que se haya descifrado una contraseña. Si el equipo acepta un certificado fraudulento o entrega datos a una página falsa, la situación es distinta.
Prepara una captura que puedas interpretar
- Define qué equipo, interfaz y periodo vas a observar, y qué comportamiento esperas. Obtén la autorización antes de capturar.
- Genera únicamente tráfico de prueba entre tus equipos. Capturar en una red conmutada no hace visible automáticamente todo el tráfico de los demás.
- Guarda una referencia del gateway, resolutores DNS y certificados que administra el responsable de la red.
- Detén la captura cuando tengas el ejemplo y protege el archivo: puede contener direcciones, nombres y datos privados.
Wireshark analiza paquetes; su visibilidad depende del punto de captura. Si necesitas preparar las máquinas, consulta Kali en VirtualBox con una imagen oficial. No conectes el laboratorio a una red compartida sin revisar su aislamiento.
Filtros de visualización para revisar indicios
arp
arp.duplicate-address-detected
dns
dns.flags.response == 1
tlsEscribe un filtro cada vez en la barra de visualización. Estos filtros muestran paquetes ya capturados; no son reglas de protección ni un detector infalible de MITM.
- ARP: compara anuncios y respuestas con el inventario. Un aviso de dirección duplicada también puede deberse a una configuración incorrecta o a cambios legítimos.
- DNS: comprueba quién responde y a qué consulta. Una respuesta inesperada puede necesitar revisión, pero el TTL bajo o un error DNS no acreditan suplantación por sí solos.
- TLS: relaciona el intento con los avisos del cliente y los registros del servidor. Ver paquetes TLS no significa ver el contenido cifrado.
Wireshark necesita material de claves apropiado para descifrar determinadas sesiones TLS; una captura normal no lo obtiene por arte de magia. Para este ejercicio defensivo basta observar metadatos y validar el certificado desde el cliente. No publiques claves de sesión ni archivos de captura con datos reales.
Dónde encaja Bettercap
Bettercap incluye funciones de reconocimiento y MITM. Es una herramienta distinta de Wireshark: no la necesitas para la observación pasiva descrita aquí. Cualquier simulación activa debe tener un alcance acordado, un entorno aislado y un responsable capaz de restablecerlo.
Prevención y respuesta con contexto
Valida los certificados y no ignores sus advertencias. HSTS permite al navegador recordar que un dominio debe usar HTTPS; no debes asumir que cubre una primera visita HTTP sin una política ya conocida o precargada. Antes de extenderlo a subdominios, verifica que todos admiten HTTPS.
En una red administrada, el responsable puede valorar segmentación y controles de acceso o inspección ARP compatibles con su infraestructura. No actives una lista de controles de switching sin entender sus dependencias. Para usuarios, revisa las precauciones al usar Wi-Fi pública.
Ante una sospecha real, conserva hora, equipo, síntomas y evidencia, y comunícalos al responsable. Evita aislar puertos o renovar todas las claves sin coordinar el impacto. En sergiocaballero.com puedes continuar con la revisión autorizada de tu Wi-Fi para contrastar su configuración.
Deja un comentario