viralmaniar/remote-desktop-caching-
Esta ferramenta permite recuperar informações de sessões RDP (mstsc) antigas na forma de arquivos PNG corrompidos. Esses arquivos PNG permitem que membros da Red Team extraiam informações valiosas, como senhas LAPS ou qualquer informação sensível na tela. Membros da Blue Team podem reconstruir arquivos PNG para ver o que um atacante fez em um host comprometido. É extremamente útil para uma equipe de perícia forense extrair timestamps após um ataque a um host para coletar evidências e realizar análises adicionais.
Esta ferramenta permite recuperar informações de sessões antigas do RDP (mstsc) na forma de arquivos PNG corrompidos. Esses arquivos PNG permitem que membros da Red Team extraiam informações valiosas, como senhas do LAPS ou qualquer informação confidencial na tela. Membros da Blue Team podem reconstruir arquivos PNG para ver o que um atacante fez em um host comprometido. É extremamente útil para uma equipe de perícia forense extrair timestamps após um ataque em um host para coletar evidências e realizar análises adicionais.
Quaisquer sugestões ou ideias para esta ferramenta são bem-vindas - basta me tweetar em @ManiarViral
Na primeira execução do Remote-Desktop-Caching usando python.exe remotecache.py o usuário verá as opções abaixo:
Usando Opção 1 e Opção 2 o usuário pode saber a política de execução da sessão atual e defini-la como Bypass, que executa o script PowerShell rdpcache.ps1. Usando Opção 3 o usuário pode listar os arquivos binários em cache que serão usados para reconstruir os arquivos PNG.
Escolhendo Opção 4: Inicia a análise dos arquivos de cache e o processo de reconstrução. Esta opção cria uma pasta na unidade C do usuário com o nome Recovered_RDP_Sessions
Informações confidenciais são recuperadas desses arquivos binários na forma de imagens PNG corrompidas. Conseguiu recuperar senha LAPS, endereço IP do atacante e nomes de arquivos maliciosos. Também revela algumas informações cruciais sobre as atividades do atacante em um host comprometido. Para a equipe forense, o timestamp é revelado na maioria dessas imagens recuperadas.
- git clone https://github.com/Viralmaniar/Remote-Desktop-Caching-.git - python.exe remotecache.py
Twitter: https://twitter.com/maniarviral
LinkedIn: https://au.linkedin.com/in/viralmaniar
Este trabalho está licenciado sob uma Licença Creative Commons Atribuição 4.0 Internacional.
Quer contribuir? Por favor, faça um fork e envie um pull request.
Quaisquer sugestões ou ideias para esta ferramenta são bem-vindas - basta me tweetar em @ManiarViral
