Malicious RDP Drive Redirection

[@Ready-To-Learn]

Spannend 😮

[@diecknet]

Danke!

[@sonjarosch1392]

interessant & nützlich, lustige Visualisierungen 😈 Danke

[@diecknet]

Danke 😈

[@FreeFun_]

Die guten alten RDP Files. Werden gleich Vietnam-Flashbacks aktiv ^^ Bei uns gibts nur die Zwischenablage, mehr nicht.

[@diecknet]

LOL! Aber auch die Zwischenablage kann problemlatisch sein. Falls etwas kritisches in der Zwischenablage ist (Passwörter oder so). Aber natürlich weitaus weniger schlimm als direkter Dateisystemzugriff 😅

[@Foxhunter_DE]

Also ich finde das durchaus komisch, dass einem jemand RDP Files zuschickt, und man diese dann einfach öffnet. So ganz nachvollziehen kann ich das nicht.

[@diecknet]

Ein wenig komisch, ja. Aber wenn die Leute durch Social Engineering beeinflusst werden, ist vieles möglich :/

[@customraspi]

Danke für den Tipp

[@diecknet]

Gerne :)

[@DannyStrongMinecraft]

Tipp 1: Keine fremden RDP Dateien öffnen. Tipp 2: Kein Windows nutzen ;) Tipp 3: Falls möglich, andere Remote Software nutzen. edit Tipp 4: das Ausführen von PowerShell Skripten (als Datei) deaktivieren, wenn sie nicht genutzt werden. (Falls das Skript mal auf den Client Rechner gestartet wird)

[@diecknet]

1-3 hilft glaube ich eher bei IT-Pros. Aber besser als nichts :) Und wo du den 4. Tipp erwähnt hast: diese Angriffsmethode könnte ja auch schnell wurmartig sein, wenn das Angriffstool sich wirklich auf die RDP Clients kopiert. Uff! Wobei der Angriff natürlich auch problemlos mit Batch oder einem .exe Programm möglich wäre. PowerShell ist nur mein Mittel der Wahl 😁

[@DannyStrongMinecraft]

@@diecknet Stimmt auch wieder. Dann müsste man ja alles verbieten :D

[@armingeiss1281]

Hallo, danke 🙏schon mal. War wieder sehr nützlich. Aber wie kommt man nur immer auf solche böse Systemlücken. Ich denke ich werde mal per Systemeinstellung den .RDP file type schon mal vorsorglich eliminieren und hoffe dass Windows dann schon mal nichts mehr damit anfangen kann. Fernsteuerung findet bei mir Lokal eh per UVNC statt.

[@diecknet]

VNC ist ja meist unverschlüsselt im Standard... Ich hoffe es ist bei dir sicher eingerichtet 😰

[@hvhans305]

Über RedHat Linux ist das fürs Unternehmen zumindest kein Thema, aber die meisten haben privat Windows drauf, somit natürlich anfällig dafür.

[@diecknet]

Cool! Ja, stimmt einfach kein Windows benutzen hilft natürlich 😃

[@e1woqf]

@@diecknet Wie so oft

[@XXLPoseidon]

In welchem Anwendungsfall bekommt man denn eine RDP-Datei zugeschickt?

[@diecknet]

Ich habe tatsächlich diesen Monat das erste Mal eine legitime .rdp-Datei erhalten. Aber normal finde ich das auch nicht. Also am E-Mail System .RDP Dateianhänge blockieren würde bei den meisten Organisationen wahrscheinlich keine Kopfschmerzen bereiten.

[@customraspi]

Per Email als Anhang oder als Download Link in der Mail oder in einem zip. Dazu eine Aufforderung, das „Bild“ zu öffnen

[@ivica021]

Alter Hut 🎉🎉🎉🎉 wer war noch mal die Gruppe, die das herausgefunden hat? Es waren Beamte😂😂😂😂😂😂😂😂😂😂😂😂😂😂😂😂😂😂😂

[@diecknet]

Jo, das Problem wurde schon vor Jahren erkannt. Aber es ist gerade mal wieder aktuell geworden. Weißt du zufällig wann es das erste Mal öffentlich gemacht wurde? Ich hatte Infos von vor 5-7 Jahren gefunden, aber eigentlich müsste es noch älteres geben 🤔

[@Soku-Links]

Macht es nicht Sinn, dafür zu sorgen, dass nichts in den Autostart geschrieben werden darf? Vielleicht per NTFS?

[@diecknet]

Das macht Sinn, ja. Als ich einen Windows Server 2022 als RDP Client verwendet habe, wurde ich ja sogar gewarnt. Keine Ahnung, wieso an einem Windows 11 System keine Warnung kommt. Habe es auch mehrfach probiert. Aber selbst wenn da gewarnt wird: Es können auch andere Daten entwendet oder manipuliert werden. Eventuell könnten auch .exe Dateien von Programmen im Benutzerprofil ersetzt werden. Beispielsweise Google Chrome, Microsoft Teams oder OneDrive werden gerne im Benutzerprofil installiert und könnten so wohl auch durch Schadsoftware ersetzt werden.

[@Soku-Links]

@@diecknet Mal angenommen der RDP Server erstellt bzw. erzeugt eine Datei auf dem RDP-Client. Welcher Benutzer ist da im lokalen NTFS als "Ersteller" vermerkt?

[@diecknet]

@Soku-Links da steht dann der lokale User vom Client drin. Also da wird *nicht* die SID vom User vom RDP Host genommen oder ähnliches.

[@iamwitchergeraltofrivia9670]

@@Soku-Links bringt ja so viel nicht rootkits

[@iamwitchergeraltofrivia9670]

Sh ist besser wie oft denn noch aber auf windows ist es unsicher sh

[@diecknet]

Meinst du SSH?

[@maiertv_official]

RDP NUR über VPN machen

[@diecknet]

Das schützt leider nicht vor bösartigen RDP *Servern* :/

[@kascheco1]

Wer verwendet bitte Windows???

[@laura-lea-the-person]

Immer noch zu viele Menschen.

[@diecknet]

Ist verbreitet in vielen Firmen 😵‍💫

[@OguzhanDemir-yo3zh]

Der Bund die Bundesländer die Europäische Union.