RdpThief

RdpThief는 그 자체로 독립형 DLL이며, mstsc.exe 프로세스에 인젝션될 때 API 후킹을 수행하고, 평문 자격 증명을 추출하여 파일에 저장합니다.

이와 함께 제공되는 aggressor 스크립트는 상태 관리, 새 프로세스 모니터링, mstsc.exe에 셸코드 인젝션을 담당합니다. DLL은 sRDI 프로젝트(https://github.com/monoxgas/sRDI)를 사용하여 셸코드로 변환되었습니다. 활성화되면 RdpThief는 5초마다 프로세스 목록을 가져와 mstsc.exe를 검색하고 인젝션합니다.

aggressor 스크립트가 Cobalt Strike에 로드되면 세 가지 새로운 명령어를 사용할 수 있습니다:

• rdpthief_enable – 새 mstsc.exe 프로세스의 하트비트 확인을 활성화하고 인젝션합니다.
• rdpthief_disable – 새 mstsc.exe 프로세스의 하트비트 확인을 비활성화하지만 이미 로드된 DLL은 언로드하지 않습니다.
• rdpthief_dump – 추출된 자격 증명이 있으면 출력합니다.

스크린샷

시연 동영상 : https://www.youtube.com/watch?v=F77eODhkJ80

자세한 내용은 다음에서 확인할 수 있습니다 : https://www.mdsec.co.uk/2019/11/rdpthief-extracting-clear-text-credentials-from-remote-desktop-clients/