GoSecure a enregistré les propres écrans des pirates pendant trois ans au sein d'un honeypot RDP

En janvier 2020, les chercheurs de GoSecure Olivier Bilodeau et Andréanne Bergeron ont mis en place une machine virtuelle aux États-Unis avec un mot de passe délibérément faible et le protocole Remote Desktop de Microsoft — le même point d'accès que les gangs de rançongiciels utilisent pour pénétrer les réseaux d'entreprise. C'était un piège : leur outil maison PyRDP enregistrait l'écran de la machine pendant chaque session et récupérait discrètement tout ce que les intrus copiaient dans leur propre presse-papiers.

Pendant trois ans, la machine a capté 21 millions de tentatives de connexion et plus de 2 600 connexions réussies par des attaquants forçant le mot de passe par force brute. Les chercheurs ont enregistré 2 300 de ces sessions, collecté 470 fichiers téléversés et analysé 339 vidéos contenant des images utiles — plus de 100 heures que Bergeron a qualifiées de « pratiquement une caméra de surveillance qui montre tout ce qu'ils font ». Les attaquants ont révélé leurs outils — Masscan, NLBrute — leurs méthodes de travail, et parfois eux-mêmes : l'un a généré un mot de passe qui contenait peut-être son propre nom ; d'autres se sont connectés à leurs comptes de messagerie personnels depuis l'intérieur du piège.

Les images sont devenues un guide de terrain. L'équipe a classé les attaquants en cinq types nommés d'après des personnages de Donjons & Dragons : les « rôdeurs » qui font une reconnaissance immédiate, les « barbares » qui progressent par force brute à l'aide de listes d'IP et de mots de passe, les « magiciens » qui enchaînent le RDP vers d'autres machines, les « voleurs » qui installent des mineurs de cryptomonnaies et monétisent le trafic, et les « bardes » perdus — l'un a cherché sur Google le « virus le plus puissant de tous les temps », d'autres ont cherché du porno sur YouTube, toujours en écrivant en farsi. Peu de choses étaient automatisées : la plupart des attaquants cliquaient à la main. L'étude a été présentée à Black Hat à Las Vegas.

Ne vous contentez pas d'enregistrer l'intrusion — regardez-la se produire : enregistrez l'écran et le presse-papiers de l'attaquant lui-même, et le piège documente de lui-même les outils, les habitudes et les identités.

Le RDP est déjà le point de concentration des intrusions, si bien qu'un piège RDP vulnérable échantillonne la population réelle d'attaquants plutôt qu'une population théorique.

La vidéo surpasse les journaux : les techniques et l'outillage se lisent directement sur l'écran de l'attaquant, sans reconstruction forensique nécessaire.

La capture du presse-papiers saisit ce que les attaquants apportent depuis leurs propres machines — identifiants et identités, même si certains ne peuvent pas être utilisés légalement.

Publier la méthode augmente le coût pour les attaquants : les intrus surveillés ralentissent ou changent d'habitudes, et l'un comme l'autre résultat est une défense.

Un honeypot qui stocke des journaux vous dit ce qui s'est exécuté ; un honeypot qui enregistre la session de l'opérateur vous dit qui il est — les attaquants se comportent comme des personnes, et les personnes laissent fuiter des informations.

Bilodeau a déclaré que la moisson — techniques, outillage, jusqu'aux attaquants installant Telegram et se connectant sur le système compromis, exposant numéros de téléphone et indicatifs de pays — constituait un renseignement que les journaux techniques n'avaient jamais fourni, bien que certains identifiants n'aient malheureusement pas pu être utilisés légalement. GoSecure a suggéré aux entreprises de déployer leurs propres pièges pour montrer aux dirigeants qui frappe à la porte, et a évoqué l'idée de doter de futurs pièges de fichiers chiffrables pour attirer les équipes de rançongiciels. Une vérification externe par Mark Stockley, de Malwarebytes, a souligné l'exposition : les 10 RDP honeypots qu'il avait autrefois exploités ont tous été attaqués en moins de 15 heures.