Firmware · Lilygo T-Dongle-C5 / ESP32 / ESP32-S3
ESP32 Marauder: o pacote de ferramentas ofensivas e defensivas Wi-Fi/Bluetooth para ESP32
Rodrigo ColissiResumo: o ESP32 Marauder é um conjunto de ferramentas ofensivas e defensivas de Wi-Fi e Bluetooth para o chip ESP32, criado por justcallmekoko (Koko) — o mesmo ecossistema de quem popularizou o uso do Flipper Zero com placas WiFi. Com mais de 12 mil estrelas no GitHub, ele entrega sniffing de pacotes, ataques de desautenticação, beacon spam, wardriving com GPS e um pacote completo de ferramentas Bluetooth, tudo navegável por tela, serial ou interface web. Nesta análise você conhece os módulos, as placas suportadas — incluindo o T-Dongle-C5 — e os usos práticos em testes autorizados.
O que é
O ESP32 Marauder nasceu como o firmware companheiro do Flipper Zero (o dispositivo multimodular de hacking de hardware que virou febre na comunidade) para sua placa WiFi, e cresceu até virar uma suíte wireless completa para toda a família ESP32. O repositório justcallmekoko/ESP32Marauder ultrapassa 12,2 mil estrelas, com releases frequentes (a versão 1.15.x saiu em agosto de 2026), suporte a placas que vão do ESP32 clássico ao novo ESP32-C5 e uma comunidade ativa que contribui com novas boards e recursos.
A proposta é diferente dos firmwares de função única: o Marauder é um conjunto de ferramentas (a "suite") com dois lados — o ofensivo, com sniffing, ataques de desautenticação e spam de beacons, e o defensivo, com detecção de dispositivos, escaneamento de canais e wardriving. A interface é simples e funciona em qualquer placa com tela OLED ou LCD, via menu serial ou pela interface web embarcada — e o projeto documenta tudo numa wiki detalhada, com os comandos de cada ferramenta.
Principais características
| Grupo | Ferramentas |
|---|---|
| Packet Monitor | Sniffing de quadros Wi-Fi com filtros: beacons, probe requests, probe responses, deauth e data frames |
| Ataques Wi-Fi | Deauth (expulsar clientes de uma rede ou de todas), beacon spam (inundar o ar com SSIDs falsos), ataque a clientes ocultos |
| Escaneamento | Scan de redes, scan de canais, detecção de canais ocupados e lista de dispositivos por canal |
| Targeting | Seleção de alvo por BSSID ou estação, com monitoramento dedicado |
| Wardriving | Registro de redes georreferenciadas com suporte a módulos GPS e exportação dos dados |
| Bluetooth | Scan de dispositivos BLE, detecção e ataques a dispositivos Bluetooth |
| Interface | Tela OLED/LCD, menu serial via terminal e interface web embarcada |
| Placas | ESP32, ESP32-S2/S3, ESP32-C5 (T-Dongle-C5 e devkits), Flipper Zero WiFi board, M5Stack, CYD e dezenas de outras |
| Extras | Marauder OTA (atualização over-the-air via Wi-Fi), flashers Python para placas C5, suporte a GPS |
O deauth (quadro de desautenticação que expulsa dispositivos de uma rede sem fio) é a ferramenta assinatura do Marauder — e o elo com o fluxo de captura de handshake: expulsar o cliente faz ele se reconectar, gerando na frente do sniffer o handshake EAPOL que vira o hash do hashcat.
Como instalar
O primeiro passo é escolher a placa — praticamente qualquer ESP32 serve: o Lilygo T-Dongle-C5, um devkit ESP32-S3, a WiFi board do Flipper Zero ou um M5Stack. Em seguida, baixe a release mais recente na página de releases (binários prontos por placa, com o firmware e o bootloader):
esptool.py --port /dev/ttyUSB0 --baud 460800 write_flash 0x0 marauder-<placa>.binPara as placas ESP32-C5, o projeto mantém flashers Python dedicados (C5_Py_Flasher_for_*) que automatizam a gravação. Depois de flashado, o terceiro passo é conectar: com tela, os menus aparecem no display; sem tela, o terminal serial (115.200 baud) ou a interface web embarcada — que também permite controle pela rede local.
Casos de uso práticos
Teste de resiliência a ataques de desautenticação. O caso de uso clássico do Marauder: validar se a infraestrutura wireless da sua organização resiste a deauth — o ataque que derruba todos os dispositivos de uma rede. Em testes autorizados, o relatório mostra quais dispositivos caíram, em quanto tempo e se o Protected Management Frames (802.11w) está ativo — o recurso que deveria tornar o deauth ineficaz.
Sniffing para inventário de dispositivos. O Packet Monitor escuta o ar e lista clientes, probes e beacons — inclusive dispositivos "ocultos" que não anunciam o SSID mas aparecem nos probe requests (quadros que os dispositivos enviam procurando redes conhecidas). Para a defesa, é o inventário real do parque wireless: quantos dispositivos, de quais fabricantes, procurando quais redes — e para o pentester, o mapa de alvos e o material para ataques direcionados.
Captura de handshake para o fluxo de senha Wi-Fi. Combinado com o deauth, o sniffing captura o handshake EAPOL da rede-alvo — o material que o hashcat quebra no modo 22000, completando o fluxo de descoberta de senha Wi-Fi. É o mesmo papel que o Biscuit cumpre com interface mais polida; o Marauder é a opção com mais controle manual e histórico no ecossistema.
Wardriving e auditoria de exposição. Com um módulo GPS acoplado, o Marauder registra redes com coordenadas durante deslocamentos — o levantamento de cobertura e exposição wireless de uma região, no mesmo espírito do WiGLE (banco colaborativo de redes georreferenciadas). Organizações com múltiplas filiais usam isso para mapear redes próprias expostas e SSIDs legados abandonados.
Como se defender dos riscos
PMF é a defesa direta contra o deauth. O ataque assinatura do Marauder depende de quadros de desautenticação falsificados — e o Protected Management Frames (802.11w), quando habilitado, criptografa esses quadros e inviabiliza a falsificação. Ative o PMF no roteador ou controladora e teste com o próprio Marauder: se o deauth ainda derruba dispositivos, o PMF não está funcionando.
WPA3 e senha forte fecham o fluxo de quebra. O handshake capturado pelo Marauder só se transforma em senha revelada se a rede for WPA2 com senha fraca. O WPA3/SAE elimina o teste offline de senhas, e uma passphrase longa torna a quebra impraticável — a combinação que neutraliza o ataque completo, da captura à quebra.
Monitore o ar como se fosse um segmento de rede. Beacon spam, rajadas de deauth e sondagens em massa têm assinatura detectável: implante WIDS (sistemas de detecção de intrusão sem fio) e alerte para SSIDs duplicados e inundações de quadros. Em redes corporativas, correlacione esses eventos num SIEM como o Wazuh (plataforma open source de segurança que correlaciona eventos de endpoints e rede) para distinguir o teste autorizado do ataque real.
Conclusão
O ESP32 Marauder é o veterano do ecossistema de pentest wireless embarcado: a suíte que definiu o formato "ferramentas Wi-Fi/Bluetooth num ESP32" e segue relevante depois de anos, agora com suporte ao novo ESP32-C5 dual-band. Do sniffing silencioso ao beacon spam mais barulhento, do wardriving com GPS ao deauth que alimenta o fluxo do hashcat, ele cobre o espectro completo — ofensivo e defensivo — numa única placa de vinte dólares. Para quem está montando o primeiro kit de auditoria wireless, o Marauder é a escolha segura: documentação madura, comunidade enorme e um leque de ferramentas que continua crescendo a cada release.
Fontes e leituras adicionais
- justcallmekoko — ESP32Marauder (repositório oficial) — 04/09/2026
- ESP32 Marauder — Wiki oficial (documentação completa) — 04/09/2026
- justcallmekoko — Releases (binários prontos por placa) — 04/09/2026
- justcallmekoko LLC — justcallmekokollc.com (hardware oficial) — 04/09/2026