Атака на Wi-Fi в кафе или офисе: как её заметить без админа

Гости жалуются, что Wi-Fi вылетает

Типичный звонок: в кафе у гостей раз в десять минут отваливается Wi-Fi, а на кассе тормозит эквайринг. Администратора нет, роутер ставил знакомый. Что это: слабая точка, соседний канал или кто-то выбивает людей из сети, понять нечем.

Выбить клиентов из сети можно потоком служебных кадров, а сеть с таким же названием, как у вас, поднимается на ноутбуке. Телефон гостя может подключиться к ней сам. Как часто такое случается в кафе, я не знаю: статистики у меня нет. Зато знаю, что без датчика эти случаи не отличить от обычного глюка.

Что за проект и сколько ему лет

Репозиторий buybitart/get-the-hacker создан 27.10.2026. На 29.10.2026 в нём два коммита, оба от 27.10, 13 звёзд, 2 форка, открытых задач нет, релизов нет. Автор указан один, Aliaksandr Zasinets, второй коммит сделан с аккаунта BitcoinART Lab. Папки с тестами в репозитории я не нашёл, хотя в документации тесты упоминаются.

Лицензия GPL-2.0-only, файл LICENSE на месте. Внутри лежит библиотека Scapy 2.6.1 со своей лицензией в папке vendor, ReportLab для PDF необязателен и не включён. Доработанную под клиента версию придётся отдавать с открытыми исходниками. Это пересказ сути, не юридическая консультация.

Проект свежий, автор один, проверок на реальном эфире в репозитории нет. В документации прямо написано, что точность и доля ложных срабатываний не измерялись.

Что он ищет и где ошибается

По документации DETECTION.md правила такие, с порогами по умолчанию:

• Массовая деаутентификация: 20 кадров за 10 секунд.
• Признаки «злого двойника»: известное имя сети, новый адрес точки, слабее защита.
• Признаки KARMA: точка отвечает на запросы под много разных имён.
• Много отказов в аутентификации и подключении, повторные попытки рукопожатия, отказы WPS.
• Смена политики защиты у известной точки.

Разведка по запросам зондирования считается наблюдением, не атакой. Обычные телефоны шлют такие запросы постоянно, и неизвестная точка по правилам тоже не повод для тревоги.

Ложные срабатывания возможны, и авторы это пишут сами: перезагрузка роутера или работа администратора может выглядеть как всплеск деаутентификаций. «Двойник» с той же защитой, что у вашей сети, может пройти проверку незамеченным. Доверенные точки надо вписать в config/default.json вручную, по умолчанию список пуст.

Железо, установка, оповещения

Требования из README: Python 3.11 или новее с sqlite3, Bash, утилиты iw и ip, Linux или Termux. Для живого приёма нужны root, драйвер и режим мониторинга. Названий чипов в репозитории нет, адаптер придётся подбирать по спискам совместимости, сам я адаптеры не пробовал.

Установка: скопировать папку, выдать права скриптам, запустить ./gth.sh. Установщик install.sh кладёт только ярлык в ~/.local/bin. Автоматически в режим мониторинга переводится только отключённый интерфейс wlan2, подключённый адаптер программа не трогает. Ещё одна важная вещь: датчик слушает один канал и по каналам не прыгает. Для кафе с одной точкой это терпимо, для офиса на двух диапазонах нужны несколько датчиков.

Оповещения в самой программе есть в трёх видах: консоль, локальная страница на 127.0.0.1 и отчёты HTML, PDF и JSON. Я искал в коде Telegram, почту, вебхуки и исходящие сетевые вызовы и не нашёл ничего, кроме обращения к локальному gpsd. Значит, тревогу в мессенджер придётся добавлять отдельным небольшим скриптом, который следит за файлом alerts.jsonl и шлёт сообщение. Такого скрипта в проекте нет, я его не писал и не проверял, это будет моя работа поверх GTH.

Доказательства и чужие данные

При срабатывании GTH сохраняет кадры правила, хеши и файл для повторной проверки: tools/verify_proofs.py сверяет сохранённый пакет. Хеш показывает, что файл не менялся, происхождение сигнала в эфире он не доказывает, и авторы это тоже пишут.

Сырой PCAP в живом режиме не пишется. Судя по коду разбора кадров, сохраняются разобранные поля служебных кадров: MAC-адреса отправителя и получателя, адрес точки, названия сетей, в том числе из запросов телефонов, уровень сигнала, канал. Тело зашифрованных данных не сохраняется. Это моё чтение кода, в работе я его не видел.

Поэтому в логах окажутся устройства прохожих и соседей. Закон определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу (152-ФЗ, ст. 3). Отвечает ли MAC-адрес этому определению, я здесь не утверждаю, позиции Роскомнадзора по этому вопросу не нашёл. README говорит, что MAC не идентифицирует человека, но это слова автора проекта, не норма.

Где проходит граница между приёмом служебных кадров в своём заведении и в чужом эфире, я не разбирал. Хранение отчётов, срок и доступ нужно согласовать с юристом. Я бы закладывал логи на самом датчике, доступ одного человека и никакой пересылки отчётов.

Где это не сработает

Датчик только сообщает. Атаку он не остановит. Про зашифрованное содержимое трафика он ничего не знает, это прямо вынесено за рамки. «Не обнаружено» относится только к проверенному каналу и правилам, на всю сеть вывод не распространяется. Активные атаки, подбор паролей и любые проверки чужих сетей вне темы статьи, и GTH, по документации, никаких кадров в эфир не отправляет.

Часто честный ответ скромнее: включить на роутере защиту служебных кадров (PMF), если он её умеет, сменить пароль и убрать общий ключ у сотрудников. Датчик нужен тем, кто хочет видеть, что происходит.

Что можно сделать уже сейчас

1. Проверьте настройки роутера: тип защиты WPA2 или WPA3, включён ли PMF, не стоит ли заводской пароль администратора, разделены ли гости и касса.
2. Запишите свою сеть: название, адрес точки (BSSID), канал, тип защиты. Эти данные нужны, чтобы датчик отличал свою точку от чужой.
3. Ведите журнал обрывов с временем. Для ноутбука есть WifiWatch, он покажет сбои глазами клиента.
4. Если сомнения остались, закажите проверку и недельный датчик у меня: проверю настройки, поставлю датчик, настрою тревоги в Telegram или MAX и дам инструкцию, что делать при тревоге. Это входит в кибербезопасность, ориентиры по стоимости на странице цен.

Если вам важнее сеть внутри офиса, посмотрите ещё разбор про чужое устройство в корпоративном Wi-Fi и Maltrail для трафика компьютеров.

Частые вопросы

Нужен ли отдельный компьютер?

Лучше да: датчик работает круглосуточно. Одноплатник на Linux или старый ноутбук с подходящим адаптером. Именно на одноплатнике я GTH не проверял.

Можно ли смотреть чужие сети?

Технически датчик слушает всё на своём канале. Правовую сторону чужого эфира я не разбирал, поэтому ставлю его только в вашем помещении.

Можно ли ему доверять уже сейчас?

Как второй источник сведений рядом с логом роутера, пожалуй. Как единственную защиту нет: проект двухдневный, а точность авторы не измеряли.

Коротко о главном

GTH может стать датчиком для заведения без админа, но пока это сырой проект с одним автором и без истории. Оповещения придётся делать отдельно, а лог датчика требует аккуратного обращения как хранилище чужих устройств.

Если в кафе, отеле, салоне или небольшом офисе Wi-Fi ведёт себя странно, напишите мне в Telegram кодовое слово «ЭФИР» и коротко опишите, какой стоит роутер и когда сбоит. Скажу, нужен ли датчик, и если нужен, поставлю и настрою оповещения.