APT29 黑客利用流氓 RDP 服务器和 PyRDP 瞄准高价值受害者

据观察，与俄罗斯有关联的 APT29 威胁行为体在利用恶意远程桌面协议（RDP）配置文件进行网络攻击时，重新使用了合法的红队攻击方法。

趋势科技在一份报告中称，这一活动的目标是政府和武装部队、智库、学术研究人员和乌克兰实体，需要采用 Black Hills Information Security 曾在 2022 年记录的 “流氓 RDP ”技术。

研究人员费克-哈克博德（Feike Hacquebord）和斯蒂芬-希尔特（Stephen Hilt）说：“这种技术的受害者会将其机器的部分控制权交给攻击者，从而可能导致数据泄露和恶意软件安装。”

网络安全公司正在追踪这个名为 “Earth Koshchei ”的威胁组织，并称该组织早在 2024 年 8 月 7 日至 8 日就开始了活动的准备工作。乌克兰计算机应急响应小组（CERT-UA）、微软和亚马逊网络服务（AWS）也在 10 月份对 RDP 活动进行了关注。

鱼叉式网络钓鱼电子邮件旨在欺骗收件人启动附在邮件中的恶意 RDP 配置文件，使他们的机器通过该组织的 193 个 RDP 中继站之一连接到国外的 RDP 服务器。据估计，一天之内就有 200 名知名受害者成为攻击目标，这表明了该活动的规模。

Black Hill 概述的攻击方法需要在实际由对手控制的 RDP 服务器前使用一个名为 PyRDP 的开源项目（被描述为基于 Python 的 “中间怪兽（MitM）工具和库）”，以最大限度地降低被发现的风险。

这样，当受害者从电子邮件中打开代号为 HUSTLECON 的 RDP 文件时，就会向 PyRDP 中转站发起一个向外的 RDP 连接，然后将会话重定向到恶意服务器。

研究人员说：“建立连接后，流氓服务器会模仿合法 RDP 服务器的行为，并利用会话开展各种恶意活动。主要的攻击载体包括攻击者在受害者的机器上部署恶意脚本或更改系统设置。”

除此之外，PyRDP 代理服务器还能让攻击者访问受害者的系统、执行文件操作和注入恶意有效载荷。攻击的最终结果是，威胁者利用被入侵的 RDP 会话，通过代理服务器外泄敏感数据，包括凭证和其他专有信息。

值得注意的是，这种攻击是通过恶意配置文件进行数据收集的，无需部署任何定制恶意软件，从而使威胁行为者能够在不被察觉的情况下进行攻击。

另一个值得一提的特点是使用匿名层（如 TOR 出口节点）来控制 RDP 服务器，以及使用住宅代理提供商和商业 VPN 服务来访问合法的邮件服务器，这些服务器被用来发送鱼叉式网络钓鱼电子邮件。

研究人员补充说：“PyRDP 等工具可以拦截和操纵 RDP 连接，从而增强攻击效果。PyRDP可以自动抓取受害者重定向的共享驱动器，并将其内容保存在攻击者机器的本地，从而实现无缝数据外渗。”

“Earth Koshchei 在间谍活动中不断使用新方法。他们不仅密切关注有助于他们获得初始访问权的新旧漏洞，还关注红色团队开发的方法和工具。”