Un componente de Microsoft Windows RDP fue diseñado para proporcionar a los administradores, ingenieros y usuarios acceso remoto a los sistemas
Sin embargo, los actores de amenazas han estado usando la tecnología para propósitos infames, y la tendencia continúa, especialmente porque un ataque de RDP suele ser más difícil de detectar que una puerta trasera.
"Los actores de amenazas continúan prefiriendo RDP por sus ventajas de estabilidad y funcionalidad sobre las puertas traseras no gráficas, que pueden dejar artefactos no deseados en un sistema".
Esto permite a los atacantes establecer una conexión con un servidor remoto bloqueado por un firewall y abusar de esa conexión como un mecanismo de transporte para "hacer un túnel " de los servicios de escucha locales a través del firewall, lo que los hace accesibles al servidor remoto.
La red de túneles y el reenvío de puertos aprovechan los " orificios " del firewall (puertos no protegidos por el firewall que permiten el acceso de la aplicación a un servicio en un host en la red protegida por el firewall) para establecer una conexión con un servidor remoto bloqueado por un firewall.
Una vez que se ha establecido una conexión con el servidor remoto a través del servidor de seguridad, la conexión se puede utilizar como un mecanismo de transporte para enviar o "canalizar" los servicios de escucha locales (ubicados dentro del servidor de seguridad) a través del servidor de seguridad, haciéndolos accesibles al servidor remoto ( ubicado fuera del firewall).
Una de las utilidades utilizadas para tunelizar sesiones RDP es PuTTY Link , o Plink , que permite a los atacantes establecer unaseguroConexiones de red shell ( SSH ) a otros sistemas. Dado que muchos entornos de TI no inspeccionan los protocolos o no bloquean las comunicaciones SSH que salen de su red, los atacantes pueden usar la herramienta para crear túneles cifrados y establecer conexiones RDP con el servidor de comando y control (C&C).
¿Cómo funciona?
El túnel RDP entrante, una utilidad común que se usa para tunelizar sesiones RDP es PuTTY Link, comúnmente conocido como Plink.
No solo RDP es la herramienta perfecta para acceder a sistemas comprometidos externamente,pero las sesiones RDP también se pueden conectar en cadena a través de múltiples sistemas como una forma de moverse lateralmente a través de un entorno.
FireEye ha observado actores de amenazas que utilizan el shell de red nativo de WindowsNetsh) comando para utilizar el reenvío de puertos RDP como una forma de acceder a redes segmentadas recién descubiertas, accesibles solo a través de un cuadro de salto administrativo.
“Por ejemplo , un actor de amenazas podría configurar el cuadro de salto para escuchar en un puerto arbitrario el tráfico que se envía desde un sistema previamente comprometido. El tráfico se reenviaría directamente a través del cuadro de salto a cualquier sistema en la red segmentada utilizando cualquier puerto designado, incluido el puerto RDP predeterminado TCP 3389 ".
Prevención de la tunelización RDP
Si RDP está habilitado, los actores de amenazas tienen una manera de moverse lateralmente y mantener la presencia en el entorno a través de túneles o reenvío de puertos. Para mitigar la vulnerabilidad y detectar estos tipos de ataques de RDP, las organizaciones deben centrarse en los mecanismos de prevención y detección basados en host y en red.
- Servicio de escritorio remoto: deshabilite el servicio de escritorio remoto en todas las estaciones de trabajo de usuarios finales y sistemas para los que no se requiere el servicio para la conectividad remota.
- Cortafuegos basados en host: habilite reglas de cortafuegos basadas en host que deniegan explícitamente las conexiones RDP entrantes.
- Cuentas locales: evite el uso de RDP utilizando cuentas locales en estaciones de trabajo al habilitar la configuración de seguridad "Denegar el inicio de sesión a través de Servicios de escritorio remoto".
