Esta herramienta permite recuperar información de sesión RDP (mstsc) en forma de archivos PNG rotos. Estos archivos PNG permiten a los miembros del Equipo Rojo extraer información jugosa, como contraseñas de LAPS o cualquier información confidencial en la pantalla.El miembro del equipo azul puede reconstruir archivos PNG para ver lo que hizo un atacante en un host comprometido. Es extremadamente u ...

Remote-Desktop-Caching-

Esta herramienta permite recuperar información de sesión RDP (mstsc) en forma de archivos PNG rotos. Estos archivos PNG permiten a los miembros del Equipo Rojo extraer información jugosa, como contraseñas de LAPS o cualquier información confidencial en la pantalla. El miembro del equipo azul puede reconstruir archivos PNG para ver lo que hizo un atacante en un host comprometido. Es extremadamente útil para un equipo forense extraer marcas de tiempo después de un ataque a un host para recopilar evidencias y realizar análisis adicionales.

Cualquier sugerencia o idea para esta herramienta son bienvenidas, solo tweete en @ManiarViral

Capturas de pantalla

En la primera ejecución del usuario que Remote-Desktop-Cachingusa python.exe remotecache.pyobtendrás las siguientes opciones: 

El uso Option 1y el Option 2usuario pueden conocer la política de ejecución de la sesión actual y establecerla para Bypassque ejecute el rdpcache.ps1script de PowerShell. El Option 3usuario que lo usa puede enumerar los archivos binarios en caché que se usarán para reconstruir archivos PNG.

Elegir Option 4: comienza a analizar los archivos de caché y el proceso de reconstrucción. Esta opción crea una carpeta en la unidad del usuario C con un nombre deRecovered_RDP_Sessions

La información confidencial se recupera de estos archivos binarios en forma de imágenes PNG rotas. Logró recuperarse LAPS password, Attacker IP addressy malicious file names. También revela parte de la información crucial sobre las actividades de los atacantes en un host comprometido. Para el equipo forense timestampse revela en la mayoría de estas imágenes recuperadas.

¿Cómo uso esto?

- git clone https://github.com/Viralmaniar/Remote-Desktop-Caching-.git
- python.exe remotecache.py

Preguntas?

Twitter: https://twitter.com/maniarviral 
LinkedIn: https://au.linkedin.com/in/viralmaniar

Contribución y licencia

Este trabajo está licenciado bajo una licencia internacional Creative Commons Attribution 4.0 . 
¿Quieres contribuir? Por favor bifurca y pulsa con una solicitud de extracción.

Cualquier sugerencia o idea para esta herramienta son bienvenidas, solo tweete en @ManiarViral