SOC Prime Bias: Kritisch

22 May 2026 07:08 UTC

Huntress

Exponiertes RDP: Die Fehlkonfiguration, die Angreifern immer noch zugutekommt

SOC Prime Team

Folgen

Exponiertes RDP: Die Fehlkonfiguration, die Angreifern immer noch zugutekommt

Detection stack

AIDR
Alert
ETL
Query

Bedrohungsbericht
Angriffsablauf
Erkennungen
Simulationen

Zusammenfassung

Der Artikel erklärt, dass exponierte Remote-Desktop-Protokolldienste weiterhin als häufige anfängliche Zugriffsvektoren für Angreifer dienen. Viele Organisationen lassen RDP-Ports noch immer vom öffentlichen Internet aus zugänglich, was sie zu leichten Zielen für automatisches Scannen und opportunistische Eindringversuche macht. Der Beitrag hebt reale Vorfälle hervor, bei denen Angreifer offenen RDP-Zugang oder offene RDWeb-Portale ausnutzten, um in Umgebungen einzudringen und anschließend ihren Zugang durch seitliche Bewegungen zu erweitern.

Untersuchung

Die beschriebenen Fälle umfassen eine Gesundheitseinrichtung mit einem internetexponierten RDP-Port, einen Vorfall mit Kompromittierung durch ein RDWeb-Portal und einen Einbruch, bei dem Angreifer die Firewall- und Registrierungseinstellungen änderten, um RDP zu aktivieren, nachdem sie ein verwundbares SonicWall-VPN-Gerät ausgenutzt hatten. In diesen Szenarien verließen sich die Angreifer auf einfache Windows-Befehle, Reverse-Tunneling-Utilities und Skripte zur Anmeldeinformationsausgrabung, um den Zugang aufrechtzuerhalten und tiefer ins Netzwerk vorzudringen.

Abschwächung

Die empfohlenen Abwehrmaßnahmen konzentrieren sich darauf, unnötige RDP-Exposition zu beseitigen, den erforderlichen RDP-Zugang hinter korrekt konfigurierten Firewalls zu platzieren, Anmeldeinformationen nach vermuteter Exposition zu rotieren und Firewall- und VPN-Protokolle in ein SIEM einzuspeisen, um eine schnellere Erkennung zu ermöglichen. Der Artikel rät auch zum Einsatz von EDR-Abdeckung und Überwachung von Registrierungsänderungen, die RDP-Dienste aktivieren oder reaktivieren.

Reaktion

Wenn verdächtige RDP-bezogene Aktivitäten erkannt werden, sollten die Reaktionskräfte die betroffene IP-Adresse blockieren, den RDP-Dienst deaktivieren, alle bösartigen Registrierungsänderungen rückgängig machen, überprüfen, dass die Firewall-Regeln nicht geändert wurden, und betroffene Anmeldeinformationen zurücksetzen. Eine kontinuierliche Überwachung auf wiederholte Zugriffsversuche und die Validierung aller Konfigurationsänderungen sind ebenfalls wesentlich.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions classDef technique fill:#ffcc99 classDef action fill:#99ccff classDef tool fill:#cccccc classDef operator fill:#ff9900 %% Nodes – Techniques tech_scanning_ip["Technique – T1595.001 Name: Active Scanning: Scanning IP Blocks Description: Adversary probes ranges of IP addresses to locate vulnerable hosts."] class tech_scanning_ip technique tech_scanning_vuln["Technique – T1595.002 Name: Active Scanning: Vulnerability Scanning Description: Uses automated tools to find known vulnerabilities in remote systems."] class tech_scanning_vuln technique tech_valid_accounts["Technique – T1078 Name: Valid Accounts Description: Use of stolen or otherwise compromised credentials to gain access."] class tech_valid_accounts technique tech_disable_firewall["Technique – T1562.004 Name: Disable or Modify System Firewall Description: Alters firewall configuration to allow inbound traffic such as RDP."] class tech_disable_firewall technique tech_create_modify_process["Technique – T1543 Name: Create or Modify System Process Description: Creates or changes system processes via registry or service configuration."] class tech_create_modify_process technique tech_system_services["Technique – T1569 Name: System Services Description: Manipulates services to execute malicious code or maintain persistence."] class tech_system_services technique tech_discovery_network["Technique – T1049 Name: System Network Connections Discovery Description: Enumerates active network connections on the compromised host."] class tech_discovery_network technique %% Nodes – Tools / Commands tool_shodan["Tool – Name: Shodan Description: Internet‑wide scanning service used to discover exposed services such as RDP."] class tool_shodan tool tool_rdp["Tool – Name: Remote Desktop Protocol (RDP) Description: Windows remote login service leveraged after credential theft."] class tool_rdp tool tool_netsh["Tool – Name: netsh Command: netsh advfirewall add rule name='RDP-Open' dir=in protocol=TCP localport=3389 action=allow enable=yes"] class tool_netsh tool tool_reg["Tool – Name: reg.exe Command: reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f"] class tool_reg tool tool_netstart["Tool – Name: net start Command: net start TermService"] class tool_netstart tool tool_adv_ip_scanner["Tool – Name: Advanced IP Scanner Description

graph TB %% Class Definitions classDef technique fill:#ffcc99 classDef action fill:#99ccff classDef tool fill:#cccccc classDef operator fill:#ff9900 %% Nodes – Techniques tech_scanning_ip[„Technik – T1595.001 Name: Aktives Scannen: IP-Blöcke scannen Beschreibung: Der Angreifer durchsucht IP-Adressbereiche, um verwundbare Hosts zu finden.“] class tech_scanning_ip technique tech_scanning_vuln[„Technik – T1595.002 Name: Aktives Scannen: Schwachstellentest Beschreibung: Verwendet automatisierte Werkzeuge, um bekannte Schwachstellen in entfernten Systemen zu finden.“] class tech_scanning_vuln technique tech_valid_accounts[„Technik – T1078 Name: Gültige Konten Beschreibung: Nutzung gestohlener oder anderweitig kompromittierter Anmeldeinformationen, um Zugang zu erhalten.“] class tech_valid_accounts technique tech_disable_firewall[„Technik – T1562.004 Name: Deaktivieren oder Ändern von Systemfirewall Beschreibung: Ändert die Firewall-Konfiguration, um eingehenden Verkehr wie RDP zu erlauben.“] class tech_disable_firewall technique tech_create_modify_process[„Technik – T1543 Name: Erstellen oder Ändern eines Systemprozesses Beschreibung: Erstellt oder ändert Systemprozesse über Registrierungs- oder Dienstkonfiguration.“] class tech_create_modify_process technique tech_system_services[„Technik – T1569 Name: Systemdienste Beschreibung: Manipuliert Dienste, um bösartigen Code auszuführen oder Persistenz aufrechtzuerhalten.“] class tech_system_services technique tech_discovery_network[„Technik – T1049 Name: Entdeckung von Systemnetzwerkverbindungen Beschreibung: Listet aktive Netzwerkverbindungen auf dem kompromittierten Host auf.“] class tech_discovery_network technique %% Nodes – Tools / Commands tool_shodan[„Tool – Name: Shodan Beschreibung: Internet-weiter Scanning-Service zur Entdeckung exponierter Dienste wie RDP.“] class tool_shodan tool tool_rdp[„Tool – Name: Remote Desktop Protocol (RDP) Beschreibung: Windows-Remote-Login-Dienst, der nach Diebstahl von Anmeldeinformationen genutzt wird.“] class tool_rdp tool tool_netsh[„Tool – Name: netsh Befehl: netsh advfirewall add rule name=’RDP-Open‘ dir=in protocol=TCP localport=3389 action=allow enable=yes“] class tool_netsh tool tool_reg[„Tool – Name: reg.exe Befehl: reg add „HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server“ /v fDenyTSConnections /t REG_DWORD /d 0 /f“] class tool_reg tool tool_netstart[„Tool – Name: net start Befehl: net start TermService“] class tool_netstart tool tool_adv_ip_scanner[„Tool – Name: Advanced IP Scanner Beschreibung: GUI-Dienstprogramm zur Auflistung von Geräten und Netzwerkverbindungen.“] class tool_adv_ip_scanner tool %% Connections – Attack Flow tech_scanning_ip –>|verwendet| tool_shodan tech_scanning_ip –>|führt zu| tech_scanning_vuln tech_scanning_vuln –>|führt zu| tech_valid_accounts tech_valid_accounts –>|verwendet| tool_rdp tool_rdp –>|ermöglicht| tech_disable_firewall tech_disable_firewall –>|verwendet| tool_netsh tech_disable_firewall –>|führt zu| tech_create_modify_process tech_create_modify_process –>|verwendet| tool_reg tech_create_modify_process –>|führt zu| tech_system_services tech_system_services –>|verwendet| tool_netstart tech_valid_accounts –>|wird für wiederverwendet| tech_valid_accounts tech_valid_accounts –>|führt zu| tech_discovery_network tech_discovery_network –>|verwendet| tool_adv_ip_scanner

Angriffsfluss

Erkennungen

Mögliche Remote-Desktop-Dienste-Schattenkopie (via registry_event)

SOC Prime Team

21. Mai 2026

Ansehen

Mögliche Remote-Desktop-Dienste-Schattenkopie (via process_creation)

SOC Prime Team

21. Mai 2026

Ansehen

Verdächtige Firewall-Änderungen via CLI (via cmdline)

SOC Prime Team

21. Mai 2026

Ansehen

Erkennen von Registrierungsänderungen, um RDP-Verbindungen zu ermöglichen [Windows-Registrierungsereignis]

SOC Prime AI-Regeln

21. Mai 2026

Ansehen

Erkennung von exponiertem RDP und Firewall-Regeländerung [Firewall]

SOC Prime AI-Regeln

21. Mai 2026

Ansehen

Simulationsausführung

Voraussetzung: Die Telemetrie- und Basislinien-Vorkontrolle muss bestanden werden.

Begründung: In diesem Abschnitt wird die präzise Ausführung der Angreifertechnik (TTP) beschrieben, die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu generieren, die von der Erkennungslogik erwartet wird.

Angriffserzählung & Befehle:
1. Aufklärung (T1016.001): Der Angreifer führt einen schnellen Scan des Ziel-Subnets durch, um Hosts mit offenem Port 3389 zu identifizieren, unter Verwendung von Test-NetConnection in einer Schleife.
2. Privilegieneskalation / Firewall-Manipulation (T1021.001): Nachdem lokale Administratorrechte erlangt wurden, nutzt der Angreifer netsh.exe um eine freizügige eingehende Firewall-Regel für RDP hinzuzufügen und so den Dienst dem Internet auszusetzen.
3. Überprüfung nach Erstellung: Der Angreifer listet Firewall-Regeln auf, um zu bestätigen, dass der neue Eintrag existiert, und initiiert dann eine RDP-Sitzung (außerhalb des Umfangs dieses Tests).

Regressionstest-Skript:

#---------------------------------------------------------
# Simulierte Angreiferaktivität – RDP-Exposition via netsh
#---------------------------------------------------------
# 1. Scannen Sie das lokale /24 Subnet auf offene RDP-Ports (harmloses Scannen)
$subnet = "10.0.0."
1..254 | ForEach-Object {
    $ip = "$subnet$_"
    $result = Test-NetConnection -ComputerName $ip -Port 3389 -WarningAction SilentlyContinue
    if ($result.TcpTestSucceeded) {
        Write-Host "[+] RDP open on $ip"
    }
}

# 2. Fügen Sie eine Firewall-Regel hinzu, die eingehenden RDP von jeder Adresse erlaubt
$ruleName = "TempAllowRDP_$(Get-Random -Maximum 10000)"
$netshCmd = "advfirewall firewall add rule name=`"$ruleName`" dir=in action=allow protocol=TCP localport=3389"
Write-Host "`n[+] Creating firewall rule via netsh..."
Start-Process -FilePath "$env:SystemRootSystem32netsh.exe" -ArgumentList $netshCmd -Wait -NoNewWindow

# 3. Überprüfen Sie, dass die Regel existiert (optional, hilft bei der Bestätigung der Telemetrie)
netsh advfirewall firewall show rule name=$ruleName

# Ende des simulierten Angriffs

Bereinigungskommandos:

#---------------------------------------------------------
# Entfernen Sie die während des Tests erstellte temporäre Firewall-Regel
#---------------------------------------------------------
$rulePrefix = "TempAllowRDP_"
$rules = netsh advfirewall firewall show rule name=all |
         Select-String -Pattern $rulePrefix |
         ForEach-Object { ($_ -split 's+')[0] }

foreach ($r in $rules) {
    Write-Host "[*] Deleting rule $r"
    netsh advfirewall firewall delete rule name=$r
}

Treten Sie der Detection as Code-Plattform von SOC Prime bei um die Sichtbarkeit der für Ihr Unternehmen relevantesten Bedrohungen zu verbessern. Um Ihnen den Einstieg zu erleichtern und unmittelbaren Mehrwert zu erzielen, buchen Sie jetzt ein Treffen mit den Experten von SOC Prime.

Kostenlos beitreten