Cada vez que alguien usa el Escritorio Remoto de Windows, el sistema operativo guarda silenciosamente fragmentos visuales de la sesión activa. Como destacó recientemente SCYTHE Labs, los atacantes pueden extraer fácilmente estos rastros y reconstruirlos en capturas de pantalla legibles.

Este proceso no requiere privilegios especiales, toma solo unos minutos y se basa completamente en herramientas gratuitas.

Si tu equipo usa Protocolo de Escritorio Remoto (RDP), podrías estar dejando atrás un rastro de datos altamente sensibles.

El riesgo del caché de mapas de bits de RDP

Windows utiliza una función de rendimiento integrada llamada caché de mapas de bits de RDP para acelerar la carga de conexiones remotas.

Este caché almacena pequeños mosaicos de imágenes de tu sesión activa directamente en tu disco duro local.

Imagina que es como un navegador web que guarda miniaturas de sitios web para acelerar los tiempos de carga.

Sin embargo, estos mosaicos de RDP capturan todo lo visible en tu pantalla durante la sesión remota.

Esto incluye herramientas internas abiertas, documentos confidenciales, bandejas de entrada de correo electrónico e incluso credenciales escritas en campos visibles.

El problema crítico es que este caché permanece en el disco mucho después de que la conexión finaliza.

Se encuentra en un directorio de usuario estándar, lo que significa que los atacantes no necesitan privilegios administrativos para acceder a los archivos.

Según investigaciones recientes sobre amenazas, RDP representa casi un tercio de los problemas de seguridad en la superficie de ataque empresarial global.

Grupos de amenazas como BianLian, Medusa y Scattered Spider explotan frecuentemente el acceso a RDP, convirtiendo este caché predeterminado en una poderosa y sigilosa herramienta de reconocimiento.

Extracción y reconstrucción de imágenes

Los adversarios pueden localizar fácilmente la carpeta del caché porque siempre reside en la ruta de datos de aplicación local en cada máquina con Windows.

Normalmente usan un simple comando de PowerShell para comprimir la carpeta del caché en un archivo zip.

Los atacantes luego exfiltran este archivo a través de HTTPS estándar, que se mezcla fácilmente con el tráfico de red saliente normal, antes de eliminar el archivo zip para borrar sus huellas.

Una vez que los atacantes poseen los archivos extraídos, dependen de dos herramientas de código abierto para visualizar los datos robados.

Primero, una aplicación como bmc-tools analiza los archivos de caché sin procesar en miles de pequeños mosaicos de imagen.

Luego, una herramienta de visualización como RdpCacheStitcher organiza estos mosaicos dispersos como un rompecabezas para reconstruir la pantalla original de la sesión.

Incluso reconstrucciones parciales de imágenes suelen revelar suficientes detalles ambientales para impulsar la siguiente fase de un ciberataque.

Este caché sirve como un importante indicador de compromiso, incluso cuando los atacantes intentan ocultar sus huellas.

Los actores de amenazas que usan RDP durante una intrusión a menudo eliminan por completo el directorio del caché antes de cerrar sesión.

Encontrar un caché de mapas de bits vacío en una estación de trabajo con un largo historial de uso de Escritorio Remoto es altamente sospechoso.

Los equipos de seguridad siempre deben tratar esta repentina ausencia de evidencia como una señal fuerte para iniciar una investigación.

Los investigadores de SCYTHE enfatizan que defenderse contra esta exposición implica mejorar la visibilidad de monitoreo y ajustar las configuraciones predeterminadas del sistema.

Implementa estas medidas prácticas de defensa para proteger tus endpoints:

• Verifica que tus sistemas de detección de endpoints marquen el acceso no autorizado a la carpeta local del caché de RDP.
• Confirma que las transferencias salientes de HTTPS de archivos comprimidos desde directorios temporales generen alertas inmediatas.
• Prueba si tus herramientas de seguridad detectan comandos de compresión de PowerShell dirigidos al directorio de datos de aplicación local.
• Desactiva el caché por completo usando una configuración estándar de Política de Grupo de Windows para eliminar el riesgo.
• Añade revisiones del caché de RDP a tu manual estándar de respuesta a incidentes para buscar activamente archivos sospechosamente ausentes.

Fuentes:
https://cybersecuritynews.com/windows-remote-desktop-image-fragments/

https://scythe.io/scythe-labs/what-your-rdp-sessions-leave-behind