GoSecure grabó durante tres años las propias pantallas de los hackers dentro de un honeypot RDP

En enero de 2020, los investigadores de GoSecure Olivier Bilodeau y Andréanne Bergeron montaron una máquina virtual en Estados Unidos con una contraseña deliberadamente débil y el Protocolo de Escritorio Remoto de Microsoft, el mismo punto de acceso que las bandas de ransomware usan para entrar en redes corporativas. Era una trampa: su herramienta casera PyRDP grababa la pantalla de la máquina durante cada sesión y capturaba sigilosamente todo lo que los intrusos copiaban a sus propios portapapeles.

Durante tres años, la máquina capturó 21 millones de intentos de inicio de sesión y más de 2.600 inicios de sesión exitosos de atacantes que forzaban la contraseña por fuerza bruta. Los investigadores grabaron 2.300 de esas sesiones, recogieron 470 archivos subidos y analizaron 339 vídeos con imágenes útiles —más de 100 horas que Bergeron describió como «básicamente una cámara de vigilancia que muestra todo lo que hacen». Los atacantes revelaron sus herramientas —Masscan, NLBrute—, sus flujos de trabajo y, a veces, a sí mismos: uno generó una contraseña que puede haber incluido su propio nombre; otros iniciaron sesión en cuentas de correo personal desde dentro de la trampa.

Las imágenes se convirtieron en una guía de campo. El equipo clasificó a los atacantes en cinco tipos con nombres de personajes de Dungeons & Dragons: los «guardabosques», que hacían reconocimiento inmediato; los «bárbaros», que avanzaban por fuerza bruta con listas de IP y contraseñas; los «magos», que encadenaban el RDP hacia otras máquinas; los «ladrones», que instalaban mineros de criptomonedas y monetizaban el tráfico; y los «bardos» perdidos —uno buscó en Google el «virus más fuerte de la historia», otros buscaban pornografía en YouTube, siempre escribiendo en farsi—. Poco estaba automatizado: la mayoría de los atacantes hacía clic a mano. El estudio se presentó en Black Hat, en Las Vegas.

No basta con registrar la intrusión: hay que verla ocurrir. Grabar la propia pantalla y el portapapeles del atacante hace que la trampa documente por sí sola herramientas, hábitos e identidades.

El RDP es donde ya se concentran las intrusiones, así que una trampa RDP débil muestrea a la población real de atacantes, no a una teórica.

El vídeo supera a los registros: las técnicas y las herramientas se leen directamente en la pantalla del atacante, sin necesidad de reconstrucción forense.

La captura del portapapeles atrapa lo que los atacantes traen de sus propias máquinas —credenciales e identidades—, aunque algunas no puedan usarse legalmente.

Publicar el método eleva el coste para los atacantes: los intrusos vigilados o bien bajan el ritmo o bien cambian de hábitos, y cualquiera de los dos resultados es defensa.

Un honeypot que almacena registros te dice qué se ejecutó; uno que graba la sesión del operador te dice quién es: los atacantes se comportan como personas, y las personas filtran información.

Bilodeau dijo que el botín —técnicas, herramientas e incluso atacantes que instalaban Telegram e iniciaban sesión en el sistema comprometido, exponiendo números de teléfono y códigos de país— era inteligencia que los registros técnicos nunca habían proporcionado, aunque lamentablemente algunas credenciales no pudieron usarse legalmente. GoSecure sugirió que las empresas monten sus propias trampas para mostrar a los ejecutivos quién está llamando a la puerta, y planteó sembrar futuras trampas con archivos cifrables para atraer a los grupos de ransomware. Una comprobación externa de Mark Stockley, de Malwarebytes, subrayó la exposición: los 10 RDP honeypot que él mismo tuvo en funcionamiento fueron atacados todos en un plazo de 15 horas.