Evil Twin in de trein: de diepe techniek & waarom een VPN niet helpt * Hackerscollectief.nl

Het is maandagochtend, 07:42. Een zelfstandige ondernemer klapt zijn laptop open in de intercity, opent de wifi-lijst en ziet twee netwerken: “Wifi in de trein” en “Wifi in de trein_Gasten”. Hij klikt op de tweede. Er verschijnt een captive portal met het logo van de vervoerder, hij vult zijn gegevens in en werkt door.

What hij niet weet: de router die “Wifi in de trein_Gasten” uitzendt, zit in de rugzak van de passagier tegenover hem. Dit is een Evil Twin (kwaadaardige tweeling): een exacte of geloofwaardige kopie van een legitiem wifi-netwerk. Technisch eenvoudig, in de praktijk moeilijk te herkennen, en bijzonder effectief tegen laptops.

In deze technische deep-dive ontleden we de exacte aanvalsvectoren op Layer 2 and 3, analyseren we waarom laptops op een lokaal netwerk vogelvrij zijn, en doorboren we de hardnekkige marketingmythe dat een VPN je volledig beschermt.

1. De Rekruteringsfase: 802.11 Layer 2 Manipulatie

De fundamentele zwakheid van de IEEE 802.11-standaard (wifi) is dat netwerknamen (SSID’s) geen cryptografische authenticiteit bezitten. Elk apparaat zoekt naar netwerken via Probe Requests en luistert naar Beacon Frames. Een besturingssysteem kiest een access point (AP) op basis van de opgeslagen Preferred Network List (PNL) en de hoogste RSSI (signaalsterkte).

Een aanvaller dwingt een verbinding af via drie technische methoden:

A. SSID Spoofing & RSSI Overpowering

Met hardware zoals een Wi-Fi Pineapple of een ALFA Network-kaart in monitor-mode start de aanvaller een software-AP (bijvoorbeeld via hostapd of hostapd-mana). De aanvaller adverteert dezelfde SSID als het legitieme netwerk. Omdat de aanvaller fysiek dichtbij zit, is de RSSI-waarde superieur aan het echte treinsignaal. Het OS van het slachtoffer kiest automatisch het sterkste AP. Dit proces van initiële netwerktoegang vertoont veel raakvlakken met de manier waarop aanvallers credentials buitmaken bij een brute-force aanval, zoals we zagen in de HTB Brutus write-up.

B. De BSSID Deauthenticatie Loop

Als het slachtoffer al is verbonden met de legitieme trein-wifi, kan de aanvaller het apparaat actief loskoppelen. Dit gebeurt door onversleutelde 802.11 deauthenticatie-frames (Layer 2 management frames) te sturen:

sudo aireplay-ng --deauth 10 -a [BSSID_VAN_DE_TREIN] -c [MAC_VAN_SLACHTOFFER] wlan0mon

Het apparaat wordt direct gedropt, scant opnieuw de ether, and associeert zich binnen milliseconden met het sterkere, rogue AP van de aanvaller.

C. Social Engineering via ESSID-variaties

De aanvaller creëert een geloofwaardige variaat, zoals Wifi in de trein_Gasten of NS_Free_Wifi. Veel gebruikers associëren hier handmatig mee, in de veronderstelling dat dit een officieuze, secundaire VLAN-toegang is voor reizigers zonder abonnement. Het misleiden van gebruikers via vertrouwde communicatiekanalen is een beproefde tactiek; vergelijkbaar met hoe criminelen slachtoffers oplichten via neppe verificatieberichten, waarover je meer leest in ons dossier over het WhatsApp gehackt stappenplan.

2. De Aanvalswegen op de Rogue Router

Zodra het slachtoffer is geassocieerd en een IP-adres heeft gekregen via de malafide DHCP-server van de aanvaller, loopt 100% van het internetverkeer via de netwerk-stack van de hacker. Dit opent drie specifieke aanvalsvectoren:

Vector A: DNS Spoofing & Captive Portal Clones

De aanvaller configureert een lokale DNS-server (zoals dnsmasq) die elke aanvraag resolvet naar het IP van de eigen machine. Probeert de gebruiker naar een willekeurige site te gaan, dan forceert een HTTP-statuscode 302 Redirect een nagemaakt inlogportaal. Dit is een phishing-aanval op netwerkniveau. Zodra het slachtoffer credentials invult, worden deze direct weggeschreven. HTTPS voorkomt dit niet, omdat de gebruiker de data vrijwillig naar een kwaadaardig endpoint stuurt. Hoewel MFA de schade van gestolen wachtwoorden beperkt, voorkomt het niet dat de aanvaller je sessie onderschept of je lokale netwerk scans uitvoert.

Vector B: SSL/TLS Stripping en Certificaatfraude

Bij apps of services die geen strikte HTTP Strict Transport Security (HSTS) of SSL Pinning afdwingen, kan de aanvaller met tools zoals mitmproxy of bettercap het verkeer downgraden van HTTPS naar HTTP. Als er wel HSTS actief is, zal de browser een fatale certificaatwaarschuwing tonen. Klikt de gebruiker deze waarschuwing weg, dan ligt al het dataverkeer open.

Vector C: Het Lokale Netwerk (LAN) als Aanvalsoppervlak

Dit is het meest onderschatte risico voor laptops. Smartphones draaien apps in strikte, gesandboxde environments, maar laptops zijn gebouwd voor enterprise-netwerkintegratie. Zodra je laptop op het rogue AP zit, bevind je je op hetzelfde subnet als de aanvaller. De aanvaller start direct actieve verkenning:

Massive Port Scanning: Met een asynchrone poortscanner brengt de hacker binnen enkele seconden het complete subnet in kaart op zoek naar open poorten:
```
sudo masscan -p1-65535 192.168.1.0/24 --rate 1000
```
Gerichte Service Enumeratie: Zodra er live hosts zijn gevonden, volgt een agressieve nmap-scan om services en besturingssystemen te fingerprinten:
```
nmap -sC -sV -p 22,139,445,3389 192.168.1.50
```
Dit type actieve netwerk-enumeratie en het in kaart brengen van services is exact wat we analyseren in de HTB LogJammer write-up, waarin we zien hoe laterale bewegingen binnen Windows-omgevingen worden vastgelegd.
Exploitatie van Open Protocollen:
- SMB (Poort 445): Als bestands- en printerdeling actief is, probeert de aanvaller shares te ontdekken. Via LLMNR/NetBIOS-spoofing (met tools als Responder) dwingt de hacker de laptop bovendien om NTLMv2-authenticatiehashes over de lijn te sturen, die offline gekraakt kunnen worden.
- UDP- en SNMP-lekken: Veel beheerders vergeten dat UDP-daemons op laptops op de achtergrond luisteren. Met specifieke scanners kunnen gevoelige systeemgegevens of hardcoded wachtwoorden uit SNMP-MIBs worden getrokken.

3. De VPN-Mythe Gecrasht: Wat een VPN wel én niet doet

Commerciële VPN-providers promoten hun software als een magisch schild tegen openbare wifi-risico’s. Technisch gezien klopt daar maar de helft van. Een VPN bouwt een versleutelde tunnel (bijvoorbeeld via OpenVPN of WireGuard op OSI Layer 3 of 4) vanaf jouw laptop naar de VPN-gateway.

Dit beschermt de inhoud van je internetverkeer tegen afluisteren, maar faalt op de volgende fronten:

Rogue Captive Portals (Nee): Voordat de VPN kan opstarten, moet de laptop IP-connectie krijgen via het portaal. Data ingevuld in de pre-tunnel fase lekt direct. Wanneer een account eenmaal gekaapt is via zo’n portaal, moet je direct ingrijpen; zie hiervoor ons Hotmail of Outlook gehackt stappenplan.
LAN-aanvallen / SMB-probes (Nee): De VPN versleutelt het WAN-verkeer, maar de fysieke netwerkinterface (NIC) blijft live op het lokale subnet van de aanvaller. Open poorten blijven vatbaar voor exploits.
Phishing / DNS Spoofing (Nee): Als je via een vervalst portaal inlogt met je echte Microsoft-wachtwoord, tunnelt de VPN simpelweg de phishing-data veilig naar de server van de hacker.

Het Enterprise-Gevaar: WPA2/WPA3-Enterprise Evil Twins

Bij geavanceerde netwerken (zoals bedrijfsnetwerken met 802.1X/PEAP-authenticatie) gebruiken aanvallers tools zoals eaphammer. Ze bootsen het SSID van het bedrijfsnetwerk na en presenteren een vals RADIUS-certificaat. Wanneer de laptop verbinding probeert te maken, dwingt de tool een authenticatie-downgrade af en vangt het de PEAP-MSCHAPv2-challenge/response op. Deze netwerkhash kan offline met hashcat (mode 5500) worden gekraakt. Een VPN biedt hier nul bescherming, omdat de aanval plaatsvindt voordat er überhaupt netwerktoegang is verkregen. Deze vorm van geavanceerde misleiding, waarbij legitieme Windows- of Microsoft-componenten tegen het systeem worden gebruikt, zagen we ook terug bij het misbruiken van de legitieme rendering-engine in de HTB MSHTML malware-analyse.

4. Harde Blauwe Verdediging: 6 Concrete Actiepunten

Beveiliging is geen kwestie van software kopen, maar van systeemharding. Pas deze zes technische stappen toe om je laptop te beschermen:

Dwing het ‘Openbaar’ (Public) Netwerkprofiel af: Wanneer je verbindt met een onbekend netwerk, configureer het OS dan direct als Openbaar. In Windows activeert dit direct Defender Firewall-regels die inkomend SMB-verkeer (poort 445), NetBIOS (137-139) en mDNS blokkeren. Op macOS zet je in de firewall-instellingen de optie “Blokkeer alle inkomende verbindingen” aan. Dezelfde principes van netwerkharding die we voor thuisnetwerken en routers aanbevelen, zijn op een onbetrouwbaar openbaar netwerk nog veel kritischer.
Schakel LLMNR en NetBIOS uit (Windows): Voorkom dat je laptop credentials lekt via lokale naamresolutie-spoofing. Schakel NetBIOS uit via de geavanceerde TCP/IP-instellingen van je netwerkadapter en schakel LLMNR uit in de Local Group Policy Editor (gpedit.msc) onder “Turn off multicast name resolution”.
Deactiveer “Automatisch Verbinden” voor Open Netwerken: Zorg ervoor dat de netwerkmanager van je OS open SSID’s nooit automatisch herverbindt. Schakel dit expliciet uit in de eigenschappen van het profiel om KARMA-aanvallen te voorkomen.
Purge je Wireless Profile History regelmatig: Elk opgeslagen open wifi-netwerk in je OS is een uitnodiging voor een aanvaller die gebruikmaakt van actieve SSID-tracking. Verwijder onbeveiligde netwerken direct nach gebruik uit je lijst met bekende netwerken.
Dwing een VPN Kill Switch af: Als je een VPN gebruikt, activeer dan de strikte Kill Switch. Dit zorgt ervoor dat als de VPN-tunnel om wat voor reden dan ook wegvalt, alle netwerkpakketten die buiten de tunnel om willen reizen direct hard worden gedropt.
Het Ultieme Alternatief: Tethering via USB: De veiligste optie is om de wifi-kaart van je laptop volledig uit te schakelen en een mobiele hotspot op te zetten via je eigen 4G/5G-telefoon. Voor maximale veiligheid doe je dit via een fysieke USB-tetheringverbinding. Hierdoor elimineer je het complete 802.11 wireless aanvalsoppervlak voor je laptop.

Samenvatting

Een Evil Twin maakt misbruik van fundamentele ontwerpfouten in de radiolaag van wifi. Een VPN beschermt je internetdata, maar je firewall en netwerkprofiel beschermen je machine. Vertrouw op openbare plekken nooit op de netwerknaam alleen, houd je poorten potdicht en kies bij voorkeur altijd voor je eigen mobiele data-omgeving. Een VPN is een goede extra laag, maar geen magisch schild.

Geraadpleegde bronnen

CISA — Adversarial tactics: Evil Twin (T1557.004)
Kaspersky — Evil Twin-aanvallen en hoe je ze kunt voorkomen
Bastille — Wi-Fi Pineapple: Is It Still a Threat
SecureW2 — Network Eavesdropping: Risks & Prevention
Kovra — Public Wi-Fi Security: What a VPN Actually Prevents
Hack The Box — Wireless Triage & Auditing (2026)
De Correspondent — De wifi in de trein is volstrekt onveilig (2014)