Mobile-Menu

RDP Hijacking wird zum Problem in Rechenzentren: Teil 1 Cyber-Kriminelle kapern Fernwartungslösungen

Von Thomas Joos Lesedauer: 1 min |

Anbieter zum Thema

Dell GmbH
Fujitsu Technology Solutions GmbH
Datacenter One GmbH

Seit einiger Zeit greifen Cyber-Kriminelle vermehrt auch das „Microsoft Remote Desktop Protocol“ (RDP) an. Dabei wollen die Hacker Zugriff auf die Systeme im Netzwerk erhalten. Das kann sich zu einem großen Problem entwickeln.

RDP Hijacking kann ein Problem für Netzwerke werden
RDP Hijacking kann ein Problem für Netzwerke werden
(Bild: Thomas Joos)

Beim so genannten RDP-Hijacking übernehmen Angreifer RDP-Sitzungen von Administratoren. Dadurch erhalten die Cyber-Kriminelle direkten Zugang zu Servern, oft sogar mit administrativen Rechten. Ist ein Server übernommen, besteht schneller Zugang zu anderen Geräten.

In immer mehr Unternehmen ist der RDP-Zugang ein wesentlicher Bestandteil bei der Verwaltung von Servern, auch über das Netzwerk. In vielen Unternehmen kommt dabei kein VPN zum Einsatz, sondern die Server sind teilweise direkt per RDP im Internet verfügbar. Das macht Angriffe noch einfacher.

Ist eine RDP-Verbindung im getrennten Zustand, also nicht komplett beendet, können Hacker versuchen, diese Verbindung zu übernehmen. Gelingt das, müssen die Kriminellen keinerlei Anmeldedaten stehlen, zum Beispiel über Phishing oder durch Angriffe.

Hacker kapern getrennte RDP-Verbindungen

Die Hacker haben nach der Übernahme vollständigen Zugriff auf die Sitzung, inklusive der Admin-Rechte. Hat der Benutzer auch Rechte im Netzwerk, sind noch andere Server in Gefahr.

Zum Einsatz kommt dabei das Bordmittel-Tool „tscon.exe“, mit dem sich vorhandene RDP-Sitzungen auf einem Host fortsetzen lassen. Damit das funktioniert, braucht der Hacker bereits Zugang zum System, was aber mit verschiedenen Mitteln durchaus möglich ist, zum Beispiel über Malware. Mit „tscon.exe“ kann er anschließend eine RDP-Sitzung eines Admins fortführen und dessen Rechte übernehmen.

Ebenfalls zum Einsatz kommt der Befehl „query user“, der die vorhandenen Sitzungen und deren Benutzerkonten anzeigt. Mit wenigen Befehlen in der Befehlszeile können Angreifer mit diesen Tools die RDP-Sitzung übernehmen. Alle notwendigen Informationen dazu liefert „query user“.

Bei dem kompletten Vorgang sind keine Admin-Rechte notwendig. Wie ein Schutz vor solchen Angriffen aussehen kann, zeigen wir im zweiten Teil des Blog-Beitrages (siehe: „Aktivieren des Schutzes vor Cyber-Attacken auf RDP-Verbindungen“).

(ID:49756987)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu RZ- und Server-Technik

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte