GoSecure gravou as próprias telas dos hackers por três anos dentro de um honeypot de RDP

Em janeiro de 2020, os pesquisadores da GoSecure Olivier Bilodeau e Andréanne Bergeron montaram uma máquina virtual nos Estados Unidos com uma senha deliberadamente fraca e o Remote Desktop Protocol da Microsoft — o mesmo ponto de acesso que gangues de ransomware usam para entrar em redes corporativas. Era uma armadilha: sua ferramenta caseira PyRDP gravava a tela da máquina durante cada sessão e capturava furtivamente tudo o que os invasores copiavam para suas próprias áreas de transferência.

Ao longo de três anos, a máquina capturou 21 milhões de tentativas de login e mais de 2.600 logins bem-sucedidos de atacantes que forçavam a senha por força bruta. Os pesquisadores gravaram 2.300 dessas sessões, coletaram 470 arquivos enviados e analisaram 339 vídeos com imagens úteis — mais de 100 horas que Bergeron chamou de 'basicamente uma câmera de vigilância que mostra tudo o que eles fazem'. Os atacantes revelaram suas ferramentas — Masscan, NLBrute —, seus fluxos de trabalho e, às vezes, a si mesmos: um gerou uma senha que pode ter incluído o próprio nome; outros fizeram login em contas de e-mail pessoais de dentro da armadilha.

As imagens se tornaram um guia de campo. A equipe classificou os atacantes em cinco tipos batizados com personagens de Dungeons & Dragons: 'rangers' fazendo reconhecimento imediato, 'bárbaros' avançando por força bruta com listas de IPs e senhas, 'magos' encadeando o RDP em outras máquinas, 'ladrões' instalando mineradores de criptomoedas e monetizando o tráfego, e 'bardos' perdidos — um pesquisou no Google o 'vírus mais forte de todos os tempos', outros procuraram pornografia no YouTube, sempre escrevendo em farsi. Pouco era automatizado: a maioria dos atacantes clicava manualmente. O estudo foi apresentado na Black Hat, em Las Vegas.

Não basta registrar a invasão — é preciso vê-la acontecer: gravar a própria tela e a área de transferência do atacante faz com que a armadilha documente sozinha ferramentas, hábitos e identidades.

O RDP é onde as intrusões já se concentram, então uma armadilha de RDP fraca amostra a população real de atacantes, e não uma teórica.

Vídeo supera logs: técnicas e ferramentas podem ser lidas diretamente na tela do atacante, sem necessidade de reconstrução forense.

A captura da área de transferência apanha o que os atacantes trazem de suas próprias máquinas — credenciais e identidades, embora algumas não possam ser usadas legalmente.

Publicar o método eleva o custo para os atacantes: invasores monitorados ou desaceleram ou mudam de hábitos, e qualquer um dos dois resultados é defesa.

Um honeypot que armazena logs diz o que foi executado; um que grava a sessão do operador diz quem ele é — atacantes se comportam como pessoas, e pessoas vazam informações.

Bilodeau disse que o butim — técnicas, ferramentas e até atacantes instalando o Telegram e fazendo login no sistema comprometido, expondo números de telefone e códigos de país — era inteligência que os logs técnicos nunca haviam fornecido, embora algumas credenciais infelizmente não pudessem ser usadas legalmente. A GoSecure sugeriu que as empresas montem suas próprias armadilhas para mostrar aos executivos quem está batendo à porta, e propôs semear armadilhas futuras com arquivos criptografáveis para atrair quadrilhas de ransomware. Uma verificação externa de Mark Stockley, da Malwarebytes, sublinhou a exposição: os 10 RDPs de honeypot que ele uma vez operou foram todos atacados em até 15 horas.