Remote-Desktop-Caching-

تتيح هذه الأداة استعادة معلومات جلسات سطح المكتب البعيد القديمة (mstsc) على شكل ملفات PNG تالفة. تمكن هذه الملفات أعضاء الفريق الأحمر من استخراج معلومات قيّمة مثل كلمات مرور LAPS أو أي معلومات حساسة على الشاشة. يمكن لأعضاء الفريق الأزرق إعادة بناء ملفات PNG لمعرفة ما فعله المهاجم على جهاز تم اختراقه. وهي مفيدة للغاية لفريق الطب الشرعي لاستخراج الطوابع الزمنية بعد هجوم على جهاز لجمع الأدلة وإجراء مزيد من التحليل.

أي اقتراحات أو أفكار لهذه الأداة مرحب بها – فقط غرد لي على @ManiarViral

لقطات الشاشة

في التشغيل الأول لـ Remote-Desktop-Caching باستخدام python.exe remotecache.py سيحصل المستخدم على خيارات كما يلي:

باستخدام الخيار 1 و الخيار 2 يمكن للمستخدم معرفة سياسة تنفيذ الجلسة الحالية وتعيينها إلى Bypass مما ينفذ سكريبت PowerShell rdpcache.ps1. باستخدام الخيار 3 يمكن للمستخدم سرد ملفات التخزين المؤقت الثنائية التي سيتم استخدامها لإعادة بناء ملفات PNG.

اختيار الخيار 4: يبدأ تحليل ملفات التخزين المؤقت وعملية إعادة البناء. يقوم هذا الخيار بإنشاء مجلد في محرك الأقراص C باسم Recovered_RDP_Sessions

يتم استعادة المعلومات الحساسة من هذه الملفات الثنائية على شكل صور PNG تالفة. تمكنا من استعادة كلمة مرور LAPS و عنوان IP المهاجم و أسماء الملفات الخبيثة. كما يكشف بعض المعلومات الحاسمة حول أنشطة المهاجم على الجهاز المخترق. بالنسبة لفريق الطب الشرعي، يتم كشف الطابع الزمني في معظم هذه الصور المستعادة.

كيف أستخدم هذا؟

- git clone https://github.com/Viralmaniar/Remote-Desktop-Caching-.git
- python.exe remotecache.py

أسئلة؟

تويتر: https://twitter.com/maniarviral
لينكد إن: https://au.linkedin.com/in/viralmaniar

المساهمة والترخيص

هذا العمل مرخص بموجب رخصة المشاع الإبداعي نسب المصنف 4.0 الدولية.
هل تريد المساهمة؟ يرجى عمل fork لها وفتح طلب سحب (pull request).

أي اقتراحات أو أفكار لهذه الأداة مرحب بها – فقط غرد لي على @ManiarViral