RdpThief自体はスタンドアロンのDLLであり、mstsc.exeプロセスにインジェクトされると、APIフッキングを実行し、平文の認証情報を抽出してファイルに保存します。
それに付随するアグレッサースクリプトは、状態管理、新しいプロセスの監視、mstsc.exeへのシェルコードのインジェクトを担当します。DLLはsRDIプロジェクト（https://github.com/monoxgas/sRDI）を使用してシェルコードに変換されています。有効化されると、RdpThiefは5秒ごとにプロセスリストを取得し、mstsc.exeを検索してインジェクトします。
アグレッサースクリプトがCobalt Strikeにロードされると、以下の3つの新しいコマンドが利用可能になります：
