RDP Bitmap Forensics for DFIR InvestigationsRemote Desktop Protocol (RDP) es un protocolo ampliamente utilizado que permite a los usuarios conectarse remotamente y controlar otros ordenadores. Por muy cómodo que sea, el RDP también presenta retos y oportunidades únicos para los profesionales de la investigación forense digital y la respuesta a incidentes (DFIR). Uno de los aspectos menos conocidos pero valiosos del análisis forense de RDP implica el examen de los archivos caché de mapa de bits. En este post, exploraremos lo que implica el análisis forense de mapas de bits RDP y proporcionaremos un ejemplo práctico de cómo aprovechar esta técnica en una investigación DFIR.

Entendiendo la caché de mapa de bits RDP

Cuando los usuarios se conectan a un escritorio remoto, RDP optimiza la conexión almacenando en caché imágenes de la pantalla, incluyendo iconos, bordes de ventanas y otros elementos gráficos, para reducir el uso de ancho de banda y mejorar el rendimiento. Estas imágenes en caché, o mapas de bits, se almacenan en archivos en la máquina cliente. Al examinar estos archivos de caché de mapa de bits, los investigadores forenses pueden recuperar restos de lo que se mostraba en el escritorio remoto, lo que ofrece información valiosa sobre las actividades del usuario.

Ubicaciones clave de los archivos caché de mapa de bits

Los archivos de caché de mapa de bits suelen almacenarse en las siguientes ubicaciones de un sistema Windows:

    Windows XP y anteriores:

C:\Documents and Settings\{username}\Local Settings\Application Data\Microsoft\Terminal Server Client\Cache

    Windows Vista y posteriores:

C:\Users\{username}\AppData\Local\Microsoft\Terminal Server Client\Cache

Estos archivos suelen tener nombres como cache000.bin, cache001.bin, etc.

Análisis forense de mapas de bits RDP en escenarios de movimiento lateral

La caché de mapa de bits RDP es particularmente útil para investigar escenarios de movimiento lateral ya que el análisis se realiza en el lado del cliente RDP. Esto significa que incluso si el atacante borra los registros y otras pruebas en el servidor remoto, los artefactos forenses todavía se pueden recuperar de la máquina cliente utilizada para acceder al escritorio remoto.

Ejemplo práctico: Aprovechamiento del mapa de bits RDP en una investigación

Veamos un ejemplo práctico para demostrar cómo se puede utilizar el análisis forense del mapa de bits RDP en una investigación DFIR.

Escenario: Investigando un Acceso No Autorizado

Suponga que su organización sospecha que un usuario no autorizado accedió a un servidor crítico a través de RDP. Ya ha identificado el marco temporal de la actividad sospechosa. Su objetivo es determinar qué acciones realizó el usuario no autorizado durante la sesión RDP.

Paso 1: Identificar y recopilar archivos de caché de mapa de bits

En primer lugar, recopile los archivos de caché de mapa de bits del equipo cliente sospechoso. Estos archivos suelen encontrarse en el directorio de caché mencionado anteriormente. Copie estos archivos en su estación de trabajo forense para analizarlos.

Paso 2: Analizar los archivos caché de mapa de bits

Existen varias herramientas que pueden ayudarle a analizar los archivos caché de mapa de bits. En este caso, utilizaremos BMC-Tool para extraer las imágenes de mapa de bits y RDP Cache Stitcher para reconstruir la caché.

Extraer mapas de bits con BMC-Tool:

git clone https://github.com/ANSSI-FR/bmc-tools.git
cd bmc-tools
./bmc-tools.py -s cache0000 -d cache0000_output -b

Paso 3: Unir los mapas de bits

La salida de BMC-Tool será en forma de mosaicos fragmentados. Para unir estos mosaicos, utilizaremos RDP Cache Stitcher.

wget https://github.com/example/rdp-cache-stitcher/releases/download/v1.1/RdpCacheStitcher-v1.1-linux64
chmod +x RdpCacheStitcher-v1.1-linux64
./RdpCacheStitcher-v1.1-linux64

Paso 4: Revisar los mapas de bits extraídos

Después de la extracción y la unión, revise las imágenes de mapa de bits. Busque elementos reconocibles como ventanas de aplicaciones, archivos abiertos o solicitudes de comandos que puedan indicar las acciones realizadas durante la sesión RDP.

Por ejemplo, puede encontrar mapas de bits que muestren

•     Una ventana del explorador de archivos con archivos sensibles abiertos.
•     Un símbolo del sistema con comandos ejecutados.
•     Una ventana del navegador abierta mostrando un sitio web específico o una aplicación interna.

El siguiente ejemplo muestra la reconstrucción de la línea de comandos ejecutada durante la sesión RDP 

Paso 5: Correlacionar los resultados con otras pruebas

Correlacione los hallazgos de las imágenes de mapa de bits con otras pruebas como registros RDP, registros de eventos y tráfico de red. Esta correlación puede ayudar a confirmar la cronología de la actividad no autorizada y proporcionar una imagen más clara de lo que ocurrió durante la sesión RDP.

Conclusión

El análisis forense de mapas de bits RDP es una técnica poderosa pero a menudo ignorada en las investigaciones DFIR. Analizando cuidadosamente los archivos caché de mapa de bits, los investigadores pueden recuperar restos visuales de las actividades de un usuario en un escritorio remoto. Esta información puede ser crucial para comprender el acceso no autorizado y las acciones realizadas durante una sesión RDP. Como se demuestra en nuestro ejemplo práctico, el aprovechamiento de la ciencia forense de mapas de bits puede mejorar significativamente sus capacidades de investigación y ayudar a descubrir pruebas críticas, especialmente en escenarios de movimiento lateral.

Fuentes:

https://medium.com/@egycondor/rdp-bitmap-forensics-for-dfir-investigations-f4f627431275