Los servidores Windows RDP que se ejecutan en el puerto UDP 3389 pueden quedar atrapados en redes de bots DDoS y abusar de ellos para rebotar y amplificar el tráfico basura hacia las redes de las víctimas. .El factor de amplificación es 85,9x, y que los atacantes haciendo IP Spoofing (falsificando y suplantando la IP de origen) envían unos pocos bytes y generan "paquetes de ataque" que tienen "una longitud constante de 1260 bytes" que se devuelve a la IP falsa de origen (la que será atacada).

• Ataques masivos de RDP con la llegada del teletrabajo generalizado y del fallo de seguridad BlueKeep

Abusando de los servidores Windows RDP para amplificar los ataques DDoS

Las bandas de delincuentes cibernéticos están abusando de los sistemas Windows Remote Desktop Protocol (RDP) para rebotar y amplificar el tráfico basura como parte de los ataques DDoS, dijo la firma de seguridad Netscout en una alerta el martes.

• https://www.netscout.com/blog/asert/microsoft-remote-desktop-protocol-rdp-reflectionamplification

No se puede abusar de todos los servidores RDP, sino solo de los sistemas en los que la autenticación RDP también está habilitada en el puerto UDP 3389 sobre el puerto TCP estándar 3389.

Netscout dijo que los atacantes pueden enviar paquetes UDP mal formados a los puertos UDP de los servidores RDP que se reflejarán en el objetivo de un ataque DDoS, amplificado en tamaño, lo que provocará que el tráfico basura llegue al sistema del objetivo.

Esto es lo que los investigadores de seguridad denominan factor de amplificación de DDoS y permite a los atacantes con acceso a recursos limitados lanzar ataques DDoS a gran escala al amplificar el tráfico basura con la ayuda de sistemas expuestos a Internet.

En el caso de RDP, Netscout dijo que el factor de amplificación es 85,9, y que los atacantes envían unos pocos bytes y generan "paquetes de ataque" que tienen "una longitud constante de 1260 bytes".

Un factor de 85,9 coloca a RDP en el escalón superior de los vectores de amplificación DDoS, con servidores Jenkins (~ 100), DNS (hasta 179), WS-Discovery (300-500), NTP (~ 550) y Memcached ( ~ 50.000).

Servidores RDP ya abusados ​​para ataques del mundo real

Pero las malas noticias no terminan con el factor de amplificación. Netscout dijo que los actores de amenazas también se han enterado de este nuevo vector, del que ahora se abusa mucho.

"Como suele ocurrir con los nuevos vectores de ataque DDoS, parece que después de un período inicial de empleo por parte de atacantes avanzados con acceso a la infraestructura de ataque DDoS a medida, la reflexión / amplificación RDP se ha convertido en arma y se ha agregado a los arsenales de los llamados booter / estresan los servicios DDoS contratados, colocándolos al alcance de la población general de atacantes ", dijeron los investigadores.

Netscout ahora solicita a los administradores de sistemas que ejecutan servidores RDP expuestos en Internet que desconecten los sistemas, los cambien al puerto TCP equivalente o coloquen los servidores RDP detrás de una VPN para limitar quién puede interactuar con sistemas vulnerables.

Actualmente, Netscout dijo que está detectando más de 14,000 servidores RDP expuestos en línea y ejecutándose en el puerto UDP 3389.

Desde diciembre de 2018, han salido a la luz cinco nuevas fuentes de amplificación DDoS. Estos incluyen el Protocolo de aplicación restringida (CoAP), el protocolo de descubrimiento dinámico de servicios web (WS-DD), el servicio de administración remota de Apple (ARMS), los servidores Jenkins y las puertas de enlace Citrix.

Según el FBI, los primeros cuatro han sufrido abusos en ataques del mundo real.

¿Qué es RDP?

RDP, abreviatura de Remote Desktop Protocol, en español Protocolo de Escritorio Remoto, permite que una computadora se conecte a otra computadora a través de una red para usarla de forma remota. En un dominio, las computadoras que ejecutan un sistema operativo Windows Client, como Windows XP o Windows 10, vienen con un software cliente RDP preinstalado como parte del sistema operativo, que les permite conectarse a otras computadoras en la red, incluidos los servidores de la organización. Una conexión a un servidor en este caso significa que podría ser directamente al sistema operativo del servidor, o podría ser a un sistema operativo que esté corriendo dentro de una máquina virtual en ese servidor. Desde esa conexión, una persona puede abrir directorios, descargar y cargar archivos y ejecutar programas, como si estuviera usando el teclado y el monitor conectados a ese servidor.

RDP fue inventado por Citrix en 1995 y vendido como parte de una versión mejorada de Windows NT 3.51 llamada WinFrame. En 1998, Microsoft agregó RDP a la edición Windows NT 4.0 Terminal Server. Desde entonces, el protocolo ha sido parte de todas las versiones de la línea de sistemas operativos Windows Server de Microsoft, además de estar incluido en todas las ediciones para usuarios no domésticos de los sistemas operativos Windows Client desde que se lanzó Windows XP en 2001. Hoy, usuarios comunes de RDP incluyen administradores de sistemas que realizan la administración remota de servidores desde sus cubículos sin tener que ir a la sala de servidores, así como trabajadores remotos que pueden conectarse a máquinas de escritorio virtualizadas dentro del dominio de su organización.

¿Qué hacen los atacantes con RDP?

Durante los últimos años, ESET ha visto un número cada vez mayor de incidentes en los que los atacantes se han conectado remotamente a un servidor de Windows desde Internet utilizando RDP e iniciado sesión como administrador de la computadora. Una vez que los atacantes inician sesión en el servidor como administrador, generalmente realizarán un reconocimiento para determinar para qué se utiliza el servidor, por quién y cuándo se está utilizando.

Una vez que los atacantes conocen qué tipo de servidor es el que controlan pueden comenzar a realizar acciones maliciosas. Algunas de las actividades maliciosas más comunes que hemos visto incluyen:

• borrar archivos de registro que contienen evidencia de su presencia en el sistema
• deshabilitar las copias de seguridad programadas y las shadow copies
• deshabilitar el software de seguridad o configurar exclusiones en él (lo cual está permitido para los administradores)
• descargar e instalar varios programas en el servidor
• borrar o sobrescribir copias de seguridad antiguas, si están accesibles

Si bien esta no es una lista completa de todas las cosas que un atacante puede hacer, tampoco significa que un atacante necesariamente va a realizar todas estas actividades. Por lo tanto, si bien la naturaleza exacta de lo que harán los atacantes puede variar mucho, dos de las acciones más comunes que realizan son:

• Instalar programas para criptominería con el objetivo de generar criptomonedas, tales como Monero
• Instalar ransomware para extorsionar con dinero a la organización (a menudo solicitan realizar un pago con criptomonedas, como bitcoin).

En algunos casos, los atacantes pueden instalar adicionalmente algún software para el control remoto con el objetivo de mantener el acceso (persistencia) a un servidor comprometido en caso de que se descubra y finalice su actividad RDP.

Fuentes:

https://www.welivesecurity.com/la-es/2019/12/23/por-que-desconectar-rdp-internet-evitar-victima-ataque/

https://www.zdnet.com/article/windows-rdp-servers-are-being-abused-to-amplify-ddos-attacks/