RDP

L’article publié par The DFIR Report décrit une attaque sophistiquée exploitant un serveur RDP exposé pour obtenir un accès initial par une attaque de password spraying. Cette méthode a ciblé de nombreux comptes sur une période de quatre heures. Les attaquants ont utilisé des outils comme Mimikatz et Nirsoft pour récolter des identifiants, accédant notamment à la mémoire LSASS. Pour la phase de découverte, ils ont employé des binaries living-off-the-land ainsi que des outils comme Advanced IP Scanner et NetScan. ...

L’article de THE DFIR REPORT détaille une intrusion complexe survenue en novembre 2024, où des attaquants ont utilisé une attaque de Password Spray pour accéder à un serveur RDP exposé. Cette attaque a permis aux cybercriminels de compromettre plusieurs comptes utilisateurs sur une période de quatre heures. Une fois l’accès initial obtenu, les attaquants ont utilisé des outils tels que Mimikatz et Nirsoft CredentialsFileView pour récolter des identifiants, et ont mené des activités de reconnaissance à l’aide de commandes intégrées et d’outils tiers comme Advanced IP Scanner et NetScan. Ils ont également utilisé Rclone pour exfiltrer des données vers un serveur distant via SFTP. ...

Selon un article de Ars Technica, Microsoft a déclaré qu’il n’avait pas l’intention de modifier un protocole de connexion à distance dans Windows qui permet aux utilisateurs de se connecter à des machines en utilisant des mots de passe qui ont été révoqués. Le protocole de bureau à distance, un mécanisme propriétaire intégré à Windows pour permettre à un utilisateur distant de se connecter à et de contrôler une machine comme s’il était directement devant elle, continue dans de nombreux cas à faire confiance à un mot de passe même après qu’un utilisateur l’a changé. Microsoft affirme que ce comportement est une décision de conception pour garantir que les utilisateurs ne soient jamais bloqués. ...