MalRDP – Neue Bedrohung via Remote Desktop Protocol So sind Angreifer in zwei Sekunden im System

Anbieter zum Thema

FTAPI Software GmbH

MalRDP beschreibt eine Angriffsmethode bei dem das Microsoft eigene Remote Desktop Protokoll (RDP), ein Netzwerkprotokoll für den Fernzugriff auf Windows Geräte, missbraucht wird. Die Methode ermöglicht es Angreifern, Dateien vom Zielsystem zu stehlen und auch über eine RDP-Session hinaus Schadcode auf dem System zu hinterlegen. Durch die gängige Verwendung des RDP in Unternehmensnetzwerken sind in vielen Fällen alle Voraussetzungen für einen Angriff gegeben.

Die Ursprünge dieser Technik finden sich in Blogartikeln der IT-Sicherheitsforscher Mike Felch und Mor Davidovich. Felch hat bereits 2022 auf die Gefahren von RDP als Initial Access Methode aufmerksam gemacht. Beschrieben wird dadurch die Phase, in der ein Angreifer versucht, erste Zugangs­möglich­keiten zur Zielumgebung zu schaffen. Davidovich hat diese Methode im Rahmen von „MalRDP“ fortgeführt.

Disclaimer: Die im Folgenden beschriebenen Techniken dürfen lediglich zu legalen Zwecken und unter Kenntnis aller Beteiligten verwendet werden.

Phishing via PowerPoint und RDP Connector

Das Platzieren von initialen Payloads auf Zielsystemen stellt für Angreifer einen wichtigen Schritt in der Angriffskette dar. Meist findet an dieser Stelle eine klassische Phishing-Mail mit einem unscheinbaren PPTX (PowerPoint) Dateianhang ihren Einsatz. Eingebettet in diese Datei befindet sich ein RDP Connector File. Dies ist eine Datei, welche es erlaubt, Verbindungseinstellungen für RDP zu speichern und auf Doppelklick zu öffnen. Für die Zielperson ist es dementsprechend schwierig, den Angriff festzustellen.

Signierte Dateien umgehen Sicherheitswarnungen

An dieser Stelle kommt ein entscheidender Vorteil für den Angreifer zum Tragen. RDP erlaubt es, Connector Files zu signieren. Nicht signierte RDP Connector Files warnen den Nutzer vor der Initiierung der Verbindung. Ist das Connector File jedoch signiert, beispielsweise mit selbst ausgestellten Zertifikaten, so ist es möglich, diese Warnung zu unterdrücken und damit maßgeblich die wahrgenommene Vertrauenswürdigkeit der Datei zu erhöhen. So kann jegliche an das Ziel angelehnte Domain genutzt werden. Im Beispiel wird die Domain phishing.intranet-cloud.com verwendet, jedoch kann auch jede andere Domäne verwendet werden, die vom Angreifer kontrolliert wird, wie z.B. security-insider.intranet-cloud.com.

PyRDP: Man-in-the-Middle öffnet Tür zu Zielsystemen

Die einzigen Verbindungsinformationen, welche nicht direkt innerhalb des Connector Files hinterlegt werden können, sind die Anmeldeinformationen. Damit dennoch eine Verbindung ohne weiteres Mitwirken der Zielperson entstehen kann, wird hierzu das Tool PyRDP der Sicherheitsforscher von GoSecure verwendet.

Dieses Tool ist ein sogenanntes Man-in-the-Middle Werkzeug. Mit Man-in-the-Middle wird eine Methode beschrieben, bei der sich ein Werkzeug in die Kommunikation von zwei Akteuren einhängt und diese somit manipulieren kann. Im Falle von RDP bedeutet dies, dass PyRDP die Anfragen des Clients an den RDP Server bearbeitet und anschließend weiterleitet. Dies ermöglicht es, einer RDP-Sitzung direkt Anmeldeinformationen hinzuzufügen, wodurch eine Authentisierung gegenüber dem RDP-Server ohne Aufforderung zur Eingabe eines Passwortes möglich wird.

Dateizugriff und Payload-Deployment über RDP

Während des Verbindungsaufbaus kommt eine weitere Funktionalität des RDP zum Tragen: Local Drive Redirection. Mit dieser ist es möglich, dass das die Verbindung initialisierende System in einer RDP-Sitzung die lokal eingebundenen Datenträger am RDP-Zielsystem anbindet. Der RDP-Client stellt also seine Laufwerke auf der entfernten Maschine bereit, um dort das Arbeiten mit lokalen Dateien zu erlauben. Diese Funktionalität wird im Folgenden durch den Angreifer ausgenutzt.

Nach einem erfolgreichen Verbindungsaufbau kann der Angreifer nicht direkt mit der RDP-Sitzung interagieren. Jedoch ist es möglich, diese Interaktion indirekt über Login-Skripte, welche bei Sitzungsbeginn ausgeführt werden, auszuüben. In diesem Beispiel wird eine Kette an Skripten gestartet. Unter dem Pfad „C:\Windows\System32\Repl\Import\Scripts“ können „.bat“ Skripte hinterlegt werden, welche bei einem Windows Login, z. B. durch RDP, ausgeführt werden. Dieses Startskript startet dann wiederum ein PowerShell-Skript, welches anschließend das Übertragen der Payloads übernimmt.

Zeitgleich mit dem Deployment kann der Angriff durch das PowerShell-Skript auch besser getarnt werden, beispielsweise indem der Microsoft Edge Browser im Kioskmodus gestartet wird. In Kombination mit einem passend vorher eingestellten Hintergrund ermöglicht dies, die eigentlich vorliegende RDP-Sitzung zu verschleiern. Die durch den Browser gezeigte Webseite kann im simpelsten Falle einen scheinbaren Ladebalken demonstrieren. Nach der erfolgreichen Übertragung der Daten wird die Sitzung durch das Skript abgemeldet.

Persistenz sichern – Autostart-Infektion mit LNK-Dateien

Es werden zwei verschiedene Dateien auf das Zielsystem übertragen: Die erste Datei ist die eigentliche Payload. Dieser wurde mittels des Havoc C2 generiert. Die Payload in diesem Beispiel ist als einfache Anwendung erstellt worden. Dabei sei zu erwähnen, dass für die Demonstration auf dem Zielsystem die vorhandenen Sicherheitsmechanismen deaktiviert wurden. Die zweite Datei ist eine LNK-Verknüpfungsdatei. Beide Dateien werden auf das eingebundene Laufwerk des Zielsystems übertragen. Die Payload wird dabei unter dem Pfad „C:\Users\user10\App­Data\Local\payload.exe“ abgelegt.

Durch die Platzierung einer LNK-Datei mit Verweis auf die Payload im Autostart-Ordner „C:\Users\user10\App­Data\­Roaming\­Microsoft\Windows\­Start Menu\­Programs\­Startup“ wird der Schadcode im Anschluss an den nächsten Neustart des Systems ausgeführt. Das Zielsystem verbindet sich daraufhin mit dem C2 Server und ist somit kompromittiert. Der Angreifer verfügt nun über die Fähigkeit, Aktionen im Rahmen der Nutzerberechtigungen auf dem Zielsystem umzusetzen.

Klassische Abwehrmethoden versagen – Neue Strategien gefordert

Ohne einschneidende Änderungen des RDP-Protokolls bleibt dieser Angriff ein leichtes Spiel für Täter. Vom Initial Access bis hin zur Persistenz auf dem Zielsystem ist es meist nur ein Doppelklick. Da dem RDP-Protokoll zudem grundsätzlich viel Vertrauen entgegengebracht wird, stehen die Chancen gut, dass Nutzer den Täuschungsversuch nicht bemerken, bevor es zu spät ist. Auch umgeht dieser Angriff das sogenannte „Mark of the Web“. Dies ist eine Markierung für Dateien, welche über das Internet heruntergeladen wurden. Da hier aber ein Kopieren von Festplatte nach Festplatte vorliegt, wird diese Markierung nicht gesetzt. Dies erschwert eine Erkennung auf dem Zielsystem.

Das Blockieren von ausgehenden RDP-Verbindungen für Nutzer oder eingehenden E-Mails mit angehängten RDP-Connector-Dateien kann kurzfristig Abhilfe verschaffen. Diese Funktionen sind jedoch auch für viele Unternehmen geschäftskritisch und damit nicht ohne Weiteres deaktivierbar.

Vor Kurzem wurde zudem durch einen Artikel von Google Threat Intelligence auf die Verwendung einer ähnlichen Angriffsmethode auf Europäische Regierungs- und Militärinstitutionen aufmerksam gemacht. Somit ist absehbar, dass sich „MalRDP“ zu einem Standard-Werkzeug im Repertoire von Angreifern und Red-Teamern entwickeln wird, solange keine weiteren Sicherheitsmaßnahmen durch Microsoft ergriffen werden.

Über die Autoren

Bengt Wegner ist Masterstudent und Red Teamer bei KALWEIT ITS mit einem Schwerpunkt auf Malware-Entwicklung. Er verfügt über mehr als fünf Jahre Berufserfahrung in der IT-Sicherheit – unter anderem durch Forschungsaufenthalte bei IBM in New York und Zürich. Als Speaker trat er zum Beispiel bei der CAST-Konferenz am Fraunhofer SIT mit einem Vortrag zur Post-Quantum-Kryptographie auf.

Max Burkhardt ist Leiter des Red Teams bei KALWEIT ITS und bringt mehr als fünf Jahre Erfahrung in der IT-Sicherheit mit. In seiner Rolle verantwortet er die Durchführung anspruchsvoller Angriffssimulationen sowie die Weiterentwicklung sicherheitsrelevanter Prozesse. Weitere Schwerpunkte liegen in den Bereichen Penetration Testing und Incident Response.

(ID:50448977)