GoSecure在RDP蜜罐中錄下駭客自己的螢幕長達三年

2020年1月，GoSecure研究人員Olivier Bilodeau與Andréanne Bergeron在美國架設了一台虛擬機器，刻意使用弱密碼，並採用微軟的遠端桌面通訊協定（RDP）——這正是勒索軟體集團用來潛入企業網路的同一種存取管道。這是個陷阱：他們自製的PyRDP工具錄下每一次工作階段的機器螢幕，並暗中擷取入侵者複製到自己剪貼簿的任何內容。

三年間，這台機器記錄了2,100萬次登入嘗試，以及攻擊者以暴力破解密碼成功登入的2,600多次。研究人員錄下其中2,300次工作階段，收集了470個上傳檔案，並分析了339段有可用畫面的影片——超過100小時，Bergeron稱之為「基本上就是一台顯示他們一舉一動的監視攝影機」。攻擊者暴露了他們的工具——Masscan、NLBrute——他們的工作流程，有時還有他們自己：其中一人產生的密碼可能包含自己的名字；其他人則從陷阱內部登入個人電子郵件帳號。

這些影片成了實戰指南。團隊將攻擊者分為五種類型，以《龍與地下城》角色命名：「遊俠」進行立即偵察，「野蠻人」帶著IP與密碼清單一路暴力破解前進，「巫師」將RDP串接到其他機器，「盜賊」安裝加密貨幣挖礦程式並將流量變現，還有迷失的「吟遊詩人」——其中一人用Google搜尋「史上最強的病毒」，其他人則在YouTube上找色情內容，而且總是用波斯文書寫。自動化的部分很少：大多數攻擊者都是用手點來點去。這項研究在拉斯維加斯的Black Hat大會上發表。

不要只記錄入侵——要看著它發生：錄下攻擊者自己的螢幕與剪貼簿，陷阱本身就會記錄下工具、習慣與身分。

RDP本就是入侵行為集中的地方，因此一個弱RDP陷阱取樣的是真實的攻擊者族群，而非理論上的族群。

影片勝過日誌：技術與工具可直接從攻擊者螢幕上讀出，無需鑑識重建。

剪貼簿擷取能捕捉攻擊者從自己機器帶來的東西——憑證與身分，儘管其中有些無法合法使用。

公布方法會提高攻擊者的成本：被監控的入侵者不是放慢腳步，就是改變習慣，而兩種結果都是防禦。

儲存日誌的蜜罐會告訴你執行了什麼；錄下操作者工作階段的蜜罐則會告訴你他們是誰——攻擊者的行為就像一般人，而一般人會洩漏資訊。

Bilodeau表示，這批收穫——技術、工具，甚至攻擊者在遭入侵系統上安裝Telegram並登入，暴露了電話號碼與國碼——是技術日誌從未提供過的情報，儘管有些憑證遺憾地無法合法使用。GoSecure建議企業自行架設陷阱，讓高階主管看看是誰在敲門，並提出在未來的陷阱中放入可加密檔案，以吸引勒索軟體集團。Malwarebytes的Mark Stockley所做的外部查核凸顯了暴露程度：他曾經營運的10個蜜罐RDP，全都在15小時內遭到攻擊。