Password Mutation & Custom Wordlists

La mutación de contraseñas consiste en fabricar un diccionario a medida del objetivo en vez de tirar de rockyou.txt a ciegas. Se parte de palabras propias de la organización y se les aplican las mismas transformaciones que hace la gente al "complicar" su contraseña, para que el cracking o el rociado acierten mucho antes.

Por qué funciona. Las políticas de contraseñas empujan a patrones predecibles: la gente toma una palabra con sentido (el nombre de la empresa, del producto, la estación del año) y le añade una mayúscula inicial, un número y un símbolo (Inlanefreight2024!). Un diccionario genérico rara vez trae esas combinaciones, pero un diccionario basado en el vocabulario del objetivo y mutado con reglas sí las genera.

El abuso. Se extraen palabras del sitio web con CeWL, se generan usuarios plausibles con username-anarchy, y se expande cada palabra con reglas de hashcat (mayúsculas, leet, sufijos).

# generar un diccionario con las palabras clave de la web del objetivo
cewl https://<domain> -d 4 -m 6 --lowercase -w wordlist.txt

# expandir el diccionario aplicando reglas (leet, sufijos, mayusculas)
hashcat --force wordlist.txt -r /usr/share/hashcat/rules/best64.rule --stdout > mutado.txt

# generar nombres de usuario probables a partir de nombres y apellidos
./username-anarchy -i nombres.txt

# CUPP: perfil personalizado (nombre, fechas, mascota...)
cupp -i
# combinar varias reglas y anadir anos a mano
hashcat wordlist.txt -r /usr/share/hashcat/rules/best64.rule -r /usr/share/hashcat/rules/toggles1.rule --stdout > mutado.txt
for y in 2023 2024 2025; do sed "s/\$/$y!/" wordlist.txt; done >> mutado.txt

Requisitos. No hace falta acceso especial: solo información pública del objetivo (su web, sus empleados) y las herramientas de generación. Su eficacia sube cuanto mejor se conozca la política de contraseñas y la jerga de la organización.

Cómo detectarlo. La generación del diccionario es offline y no deja rastro en el objetivo; lo que se detecta es su uso: una ráfaga de intentos de autenticación (rociado o fuerza bruta) con contraseñas muy "de la casa". La señal es la misma que la del rociado: muchos usuarios probados con pocas contraseñas, o un pico de fallos de inicio de sesión con patrones tipo Empresa2024!.

Defensa. Contraseñas largas y aleatorias (gestor de contraseñas), listas de contraseñas prohibidas que incluyan el nombre de la empresa y sus variantes leet, MFA para que una contraseña acertada no baste, y bloqueo de cuentas para frenar la fuerza bruta. Es el paso previo al cracking de hashes y al rociado de contraseñas, y complementa la caza de credenciales.