Desktop Remoto: Remote Desktop Protocol (T1021.001)

Durante un engagement red team, l'abuso di RDP inizia dopo aver ottenuto credenziali valide tramite tecniche di Credential Access — dumping di LSASS, Kerberoasting, oppure raccolta da password manager. Prima di connetterti, verifica lo stato del servizio sul target con reg query "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections e la porta con uno scan mirato: nmap -p 3389 --script rdp-enum-encryption,rdp-ntlm-info (Nmap, open source).

Se RDP è disabilitato ma hai privilegi amministrativi, puoi abilitarlo remotamente:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f

netsh advfirewall firewall set rule group="remote desktop" new enable=Yes

Per la connessione da Linux, FreeRDP (open source) resta lo standard: xfreerdp /u:administrator /d:CORP /p:'password' /v:10.10.10.5 /cert:ignore /dynamic-resolution. Da Windows, il classico mstsc.exe /v:hostname — la stessa sintassi documentata nell'uso operativo del Medusa Group.

Quando l'host target non è raggiungibile direttamente, entra in gioco il tunneling. Chisel (open source) permette di pivotare RDP attraverso un beacon: sul server pivot chisel server -p 8080 --reverse, e dall'operatore chisel client :8080 R:3389::3389. In alternativa, Plink (open source, parte di PuTTY) è stato usato dal gruppo Agrius per tunnellare RDP: plink.exe -R 3389::3389 user@ -pw -N. reGeorg (open source) e NATBypass (open source) — quest'ultimo utilizzato da APT41 per esporre porte RDP interne su Internet — completano l'arsenale.

Per simulare il pattern Wizard Spider di deployment ransomware interattivo via RDP, dopo il logon esegui ricognizione con net group "Domain Admins" /domain e nltest /dclist, poi copia payload via clipboard redirection o unità mappate della sessione RDP. Impacket (open source) offre rdp_check.py per validare massivamente credenziali prima delle sessioni interattive.

Per bypassare Network Level Authentication in scenari legacy, rdesktop (open source) mantiene compatibilità con configurazioni datate. In esercizi di persistenza, replica il pattern APT39 con il tool rdpwrap (open source) per abilitare sessioni concorrenti multiple. Ricorda di operare sempre in ambienti autorizzati con logging attivo lato blue team.

La detection di RDP malevolo richiede correlazione temporale tra evento di autenticazione e attività post-logon, come formalizzato nella strategia DET0327. Il punto di partenza sono i Windows Security Event 4624 con Logon Type 10 (RemoteInteractive) e 3 seguito da Logon Type 10 nei log del Domain Controller. Affiancali agli eventi 4625 per tentativi falliti — pattern di brute force o password spraying — e a 4778/4779 per riconnessioni e disconnessioni di sessione.

I log operativi dedicati risiedono in Microsoft-Windows-TerminalServices-LocalSessionManager/Operational (EventID 21, 22, 25) e Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational (EventID 1149, che registra il tentativo di connessione con username e IP sorgente prima ancora dell'autenticazione). Questi due canali sono spesso trascurati ma rappresentano la fonte più ricca per ricostruire sessioni RDP.

Dal lato Sysmon (open source), gli EventID rilevanti sono 1 (process creation) per catturare mstsc.exe con flag /v: — pattern osservato in Medusa Group — e 3 (network connection) per traffico verso la porta 3389 da host non amministrativi. La correlazione chiave, come suggerisce la tuning guidance di DET0327, è: logon type 10 → entro 5 minuti → esecuzione di cmd.exe, powershell.exe, certutil.exe o binari di discovery. Una singola regola SIEM può materializzare questa catena.

Le tecniche difensive D3FEND applicabili includono Authentication Event Thresholding per rilevare volumi anomali di logon RDP, Remote Terminal Session Detection e User Behavior Analysis per profilare quali utenti usano RDP verso quali destinazioni. Costruisci baseline per coppie (source host, destination host) e alza alert su first-time access, specialmente quando il destination è un Domain Controller — pattern esatto usato da Volt Typhoon.

Indicatori ad alto valore: RDP verso più host in sequenza breve (lateral spread), connessioni RDP originate da workstation utente verso server (inversione del flusso legittimo), sessioni interattive di account di servizio, connessioni RDP da IP esterni verso host interni (indica tunneling attivo, pattern Agrius/APT41).

I falsi positivi principali sono gli amministratori legittimi durante manutenzioni pianificate, i jump host in ambienti bastion, e i tool di help desk. Mitigali con whitelist di account amministrativi noti, correlazione con ticket di change management, e tagging degli host approvati come RDP jump box. Monitora anche l'apertura di porte non standard (C0018 ha usato 28035, 32467, 41578, 46892) come segnale di tunneling o pivot.

Nell'analisi post-incidente di una compromissione via RDP, la ricostruzione della timeline poggia su artefatti distribuiti tra sistema sorgente e destinazione. Sul lato destination host, i log primari sono i canali Microsoft-Windows-TerminalServices-LocalSessionManager/Operational.evtx e Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational.evtx, localizzati in *%SystemRoot%\System32\winevt\Logs*. L'EventID 1149 è particolarmente prezioso perché registra il source IP anche quando l'autenticazione successiva fallisce, permettendo di ricostruire tentativi di accesso da IP compromessi.

Correla questi con il Security log: 4624 Type 10 (logon riuscito RDP), 4634/4647 (logoff), 4778 (session reconnected), 4779 (session disconnected). Il campo IpAddress nell'evento 4624 identifica il source host — critico per ricostruire chain di pivoting come quelle di Fox Kitten o Chimera attraverso multiple hop.

Sul source host (l'origine della connessione RDP), gli artefatti chiave sono le chiavi di registro NTUSER.DAT\Software\Microsoft\Terminal Server Client\Servers e \Default, che elencano gli host target contattati con username usato. La cache dei bitmap RDP in *%LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache* (file .bmc e bcache) può essere ricostruita con bmc-tools (open source) per recuperare frammenti visivi delle sessioni — utile quando l'attaccante ha operato interattivamente, come nei ransomware deployment di Wizard Spider o Akira.

Le Jump List in %APPDATA%\Microsoft\Windows\Recent\AutomaticDestinations* contengono l'AppID di mstsc.exe con la lista degli host connessi. Prefetch (C:\Windows\Prefetch\MSTSC.EXE-.pf) conferma esecuzione e timestamp. Sulla destination, la ShimCache e Amcache (Amcache.hve) tracciano l'esecuzione di binari lanciati durante la sessione RDP — tipicamente strumenti di discovery, dumper credenziali o payload ransomware.

Le tecniche D3FEND rilevanti — Session Duration Analysis e User Data Transfer Analysis — guidano l'estrazione di metriche su durata sessione e volume dati trasferiti via clipboard o drive mapping. I file trasferiti via clipboard RDP lasciano traccia nella cache clipboard e nei file temporanei generati da rdpclip.exe.

Per campagne documentate: nell'APT28 Nearest Neighbor Campaign, gli analisti hanno ricostruito il daisy-chain di compromissioni proprio correlando IP sorgente RDP tra organizzazioni fisicamente adiacenti. Nel SolarWinds Compromise, APT29 ha operato RDP da sistemi public-facing verso server interni: il pattern forense chiave è stato il logon 4624 Type 10 con source IP di host DMZ verso asset interni. Plaso/log2timeline (open source) e KAPE (gratuito per uso non commerciale) permettono di aggregare questi artefatti in una super-timeline coerente.

RDP è un denominatore comune tra attori con motivazioni radicalmente diverse, il che rende la tecnica un poor discriminator per attribution ma un eccellente indicatore di maturità operativa. L'analisi dei 35 gruppi documentati rivela pattern geopolitici significativi.

APT29 (SolarWinds Compromise, C0024) rappresenta il paradigma dello state-sponsored russo: RDP usato da pivot in DMZ verso server interni, in un'operazione durata 17 mesi (agosto 2019 – gennaio 2021) che ha colpito ~18.000 clienti Orion con follow-on selettivo. APT28, nella Nearest Neighbor Campaign (febbraio 2022 – novembre 2024), ha innovato con l'uso di RDP dopo compromissione di reti Wi-Fi adiacenti al target reale, sfruttando dual-homed systems per il pivoting — una tattica di prossimità fisica rara nel panorama APT. Volt Typhoon, attribuito alla Cina e focalizzato su critical infrastructure USA, usa RDP con account domain admin compromessi per raggiungere Domain Controller, coerente con la sua dottrina di living-off-the-land.

Sul fronte iraniano, OilRig (APT34) e HEXANE usano RDP tunneling per operazioni di lungo periodo in Medio Oriente. APT39 ha impiegato rdpwinst per gestire sessioni multiple concorrenti, mentre l'attore dietro HomeLand Justice (C0038, maggio 2021 – settembre 2022) ha combinato RDP con wiper e ransomware contro reti governative albanesi, mantenendo persistenza per 14 mesi prima dell'azione distruttiva. Agrius, altro cluster iraniano, tunnellizza RDP via web shell e Plink — pattern replicabile e a basso costo operativo.

Il cluster cinese è denso: APT1, APT3, APT5, APT41, Axiom, menuPass (APT10), Chimera, Aquatic Panda e gli attori di Cutting Edge (UNC5221/UNC5325, dicembre 2023 – febbraio 2024, sfruttamento zero-day Ivanti Connect Secure). APT41 distingue per l'uso di NATBypass per esporre RDP interno su Internet, comportamento raro e ad alto rischio di detection.

Nel cybercrime, FIN6, FIN7, FIN8, FIN10, FIN13 e Cobalt Group hanno standardizzato RDP nel post-exploitation contro POS e finanza. Wizard Spider (Conti/Ryuk) e le operazioni ransomware Akira, BlackByte, INC Ransom, Medusa Group, Pysa, Indrik Spider (Dridex/BitPaymer) usano RDP per deployment interattivo del ransomware — massimizzando controllo e impatto. Scattered Spider, noto per social engineering avanzato contro help desk, appoggia le sessioni RDP successive al reset credenziali fraudolento.

Il trend cross-cluster è chiaro: RDP resta preferito per la sua legittimità apparente, il basso footprint sui controlli EDR tradizionali, e la capacità di operare con velocità umana. Le mitigazioni prioritarie derivanti — M1032 (MFA), M1030 (segmentazione), M1035 (RDP gateway) e M1042 (disabilitazione se non necessario) — restano largamente disattese in ambienti enterprise, spiegando la longevità della tecnica.

MITRE ATT&CK T1021.001 (Remote Desktop Protocol), tattica TA0008. Campagne citate: C0015, C0018, C0024 (SolarWinds Compromise), C0029 (Cutting Edge), C0032, C0038 (HomeLand Justice), C0051 (APT28 Nearest Neighbor Campaign). Mitigazioni M1018, M1026, M1028, M1030, M1032, M1035, M1042, M1047. Detection strategy DET0327. Tecniche difensive derivate da MITRE D3FEND (Authentication Event Thresholding, Remote Terminal Session Detection, User Behavior Analysis). Per comandi operativi, tool forensi (bmc-tools, KAPE, Plaso) e sintassi di FreeRDP, Chisel, Plink, Impacket è stata integrata conoscenza professionale di cybersecurity basata su documentazione ufficiale dei rispettivi progetti.