How Unparalleled RDP Monitoring Reveal Attackers’ Tradecraft

Olivier Bilodeau et Andréanne Bergeron, chercheurs en cybersécurité chez GoSecure, présentent leur conférence donnée à Black Hat et DefCon 2023, tirée de trois ans de pots de miel RDP bâtis avec leur outil libre PyRDP, qui intercepte et enregistre chaque session RDP comme une caméra de surveillance. En analysant plus de 190 millions d'événements, 2 500 connexions réussies et environ 2 300 sessions enregistrées, ils classent les attaquants en cinq archétypes inspirés de Donjons et Dragons : les rôdeurs qui reconnaissent discrètement les systèmes pour le compte d'autrui, les voleurs qui monétisent l'accès via proxyware, minage de cryptomonnaie et fraude, les barbares qui forcent l'accès à d'autres systèmes avec des outils comme NLBrute et Masscan GUI, les magiciens sans fichier qui rebondissent d'un hôte compromis à l'autre, et les bardes qui utilisent l'accès pour des tâches banales comme chercher de la pornographie, probablement achetée à un courtier en accès initial. Ils montrent des enregistrements révélant des attaquants travaillant en équipe, communiquant en arabe, en farsi et dans d'autres langues, et traduisant des messages d'erreur, puis terminent avec des conseils concrets pour les équipes défensives : ne pas exposer le RDP à l'externe, renommer les comptes administrateur par défaut, limiter le débit des connexions, et consommer les indicateurs de compromission et règles Sigma qu'ils prévoient publier.