Używasz RDCMan do połączeń RDP? Uważaj, bo można podejrzeć Twoje hasło!
Okazuje się, że to nie koniec problemów z możliwościami podejrzenia hasła użytkownika w formie tekstowej podczas połączeń RDP. O tej możliwości pisaliśmy tutaj i tutaj.
Tym razem twórca narzędzia Mimikatz, Benjamin Delpy obrał na cel narzędzie RDCMan (Remote Desktop Connection Manager) używane często w firmach przez administratorów systemów Windows. W wyniku analizy okazało się, że do szyfrowania haseł przechowywanych w swoich profilach wykorzystuje DPAPI o łamaniu, którego pisaliśmy wcześniej na Kapitanie tutaj.
Podatna jest nawet najnowsza wersja 2.8 z 22 czerwca 2021.
Wykradanie haseł z RDCMan
Aby można było wyciągnąć hasło z profili zapisanych w RDCMan należy pobrać najnowszą wersję Mimikatz 2.2.0 z kompilacją z 22 czerwca 2021r oraz użyć poniższej, specjalnej komendy z przełącznikami:
dpapi::rdg /in:SerweryAD.rdg /unprotect
W wyniku jej uruchomienia narzędzie Mimikatz rozkoduje plik „SerweryAD.rdg”, w którym administratorzy przechowują zapisane połączenia RDP:
Popularne
Masowy wyciek danych PayPal – 15,8 miliona haseł w rękach cyberprzestępców
Groźna dziura w Microsoft IIS. Deserializacja usług może prowadzić do zdalnego wykonania kodu
Nieznany exploit RCE dla Windows 10/11 i Server 2022 na sprzedaż. Czy konto SYSTEM jest już na wyciągnięcie ręki?
Wyciek kodu źródłowego trojana bankowego ERMAC V3.0
Miliony laptopów Dell narażone na kompromitację
