GoSecure zeichnete drei Jahre lang die Bildschirme von Hackern in einer RDP-Honeypot-Falle auf

Im Januar 2020 richteten die GoSecure-Forscher Olivier Bilodeau und Andréanne Bergeron in den Vereinigten Staaten eine virtuelle Maschine mit einem absichtlich schwachen Passwort und Microsofts Remote Desktop Protocol ein – genau der Zugangspunkt, über den Ransomware-Banden in Unternehmensnetzwerke eindringen. Es war eine Falle: Ihr selbst entwickeltes Werkzeug PyRDP zeichnete bei jeder Sitzung den Bildschirm der Maschine auf und griff heimlich alles ab, was die Eindringlinge in ihre eigenen Zwischenablagen kopierten.

Über drei Jahre hinweg verzeichnete die Maschine 21 Millionen Anmeldeversuche und mehr als 2.600 erfolgreiche Anmeldungen von Angreifern, die das Passwort per Brute-Force knackten. Die Forscher zeichneten 2.300 dieser Sitzungen auf, sammelten 470 hochgeladene Dateien und analysierten 339 Videos mit verwertbarem Material – mehr als 100 Stunden, die Bergeron als „im Grunde eine Überwachungskamera, die alles zeigt, was sie tun“ bezeichnete. Die Angreifer offenbarten ihre Werkzeuge – Masscan, NLBrute –, ihre Arbeitsabläufe und manchmal sich selbst: Einer erzeugte ein Passwort, das möglicherweise seinen eigenen Namen enthielt; andere meldeten sich aus der Falle heraus bei persönlichen E-Mail-Konten an.

Das Filmmaterial wurde zu einem Feldführer. Das Team teilte die Angreifer in fünf nach Dungeons-&-Dragons-Charakteren benannte Typen ein: „Waldläufer“, die sofort Aufklärung betrieben, „Barbaren“, die sich mit IP- und Passwortlisten weiter per Brute-Force vorarbeiteten, „Zauberer“, die das RDP mit anderen Maschinen verketteten, „Diebe“, die Krypto-Miner installierten und den Datenverkehr monetarisierten, und verirrte „Barden“ – einer suchte bei Google nach dem „stärksten Virus aller Zeiten“, andere jagten auf YouTube nach Pornografie, stets auf Farsi schreibend. Wenig war automatisiert: Die meisten Angreifer klickten sich von Hand durch. Die Studie wurde auf der Black Hat in Las Vegas vorgestellt.

Protokolliere den Einbruch nicht nur – sieh ihm zu: Zeichne den Bildschirm und die Zwischenablage des Angreifers selbst auf, und die Falle dokumentiert Werkzeuge, Gewohnheiten und Identitäten von ganz allein.

RDP ist der Ort, an dem sich Eindringlinge ohnehin konzentrieren, sodass eine schwache RDP-Falle die tatsächliche Angreiferpopulation erfasst und nicht eine theoretische.

Video schlägt Protokolle: Techniken und Werkzeuge lassen sich direkt vom Bildschirm des Angreifers ablesen, ohne forensische Rekonstruktion.

Das Abfangen der Zwischenablage erfasst, was Angreifer von ihren eigenen Maschinen mitbringen – Zugangsdaten und Identitäten, auch wenn einige davon rechtlich nicht genutzt werden können.

Die Veröffentlichung der Methode erhöht die Kosten für Angreifer: Überwachte Eindringlinge werden entweder langsamer oder ändern ihre Gewohnheiten, und beides ist ein Verteidigungserfolg.

Eine Honeypot-Falle, die Protokolle speichert, sagt dir, was lief; eine, die die Sitzung des Bedieners aufzeichnet, sagt dir, wer er ist – Angreifer verhalten sich wie Menschen, und Menschen hinterlassen Spuren.

Bilodeau sagte, die Ausbeute – Techniken, Werkzeuge, sogar Angreifer, die Telegram installierten und sich auf dem kompromittierten System anmeldeten und dabei Telefonnummern und Ländervorwahlen preisgaben – sei eine Erkenntnisquelle gewesen, die technische Protokolle nie geliefert hätten, auch wenn einige Zugangsdaten bedauerlicherweise rechtlich nicht genutzt werden konnten. GoSecure regte an, dass Unternehmen eigene Fallen betreiben, um Führungskräften zu zeigen, wer da anklopft, und brachte ins Spiel, künftige Fallen mit verschlüsselbaren Dateien zu bestücken, um Ransomware-Banden anzulocken. Eine externe Überprüfung durch Mark Stockley von Malwarebytes unterstrich die Gefährdungslage: Die 10 Honeypot-RDPs, die er einst betrieb, wurden alle innerhalb von 15 Stunden angegriffen.