El texto describe BruteForceAI, una herramienta de pruebas de penetración desarrollada por Mor David que utiliza modelos de lenguaje (LLM) y automatización de navegadores. El propósito de la herramienta es identificar y probar de forma automática los formularios de inicio de sesión de sitios web para encontrar debilidades en los mecanismos de autenticación.
Cómo funciona BruteForceAI
La herramienta opera en dos fases:
- Fase 1 – Detección con IA: BruteForceAI utiliza un LLM (como los de Ollama o Groq) para analizar el código HTML de una página. Con una precisión de hasta el 95%, el modelo identifica los elementos de los formularios de inicio de sesión y genera automáticamente los selectores CSS necesarios para la siguiente fase.
- Fase 2 – Ataque inteligente: Una vez identificados los formularios, la herramienta inicia un ataque de credenciales. Los usuarios pueden elegir entre dos modos:
- Modo de fuerza bruta: Prueba todas las combinaciones de nombres de usuario y contraseñas.
- Modo de rociado de contraseñas: Prueba una contraseña contra una lista de nombres de usuario para evitar bloqueos.
La herramienta incorpora lógica para reintentar intentos fallidos y detectar cambios en el DOM, asegurando la validación de un inicio de sesión exitoso. Para evadir la detección, BruteForceAI imita el comportamiento humano con retrasos aleatorios y tiempos de respuesta variables.
Características destacadas
BruteForceAI ofrece capacidades avanzadas que la diferencian de otras herramientas de fuerza bruta:
- Subprocesos múltiples: Permite ejecutar hasta 100 o más procesos simultáneamente, con retrasos sincronizados.
- Técnicas de evasión: Incluye rotación de agentes de usuario, soporte para proxies, y control de visibilidad del navegador para pasar desapercibida.
- Notificaciones y registros: Emite alertas en tiempo real a plataformas como Discord o Slack y registra todos los intentos en una base de datos SQLite.
- Herramientas operativas: Posee funcionalidades como actualizaciones automáticas, reintentos de red y comandos para la gestión de la base de datos.
Instalación y uso
La herramienta requiere Python 3.8+ y se instala clonando el repositorio de GitHub. Para su funcionamiento, es necesario configurar un LLM, ya sea de forma local con Ollama o en la nube con Groq. Los comandos de terminal permiten a los usuarios analizar objetivos y ejecutar ataques con parámetros personalizables.
Consideraciones éticas
El autor enfatiza que BruteForceAI está diseñada únicamente para pruebas de penetración autorizadas, investigación en seguridad y fines educativos. El uso de la herramienta en sistemas sin permiso es ilegal y poco ético, y el autor se deslinda de cualquier responsabilidad por el uso indebido.
En resumen, BruteForceAI representa una evolución en las herramientas de pruebas de credenciales al integrar inteligencia artificial para automatizar y mejorar la eficacia de los ataques de fuerza bruta, permitiendo a los equipos de seguridad encontrar vulnerabilidades de autenticación con mayor velocidad y precisión.
