Se ha descubierto una herramienta denominada RDPCredStealerDLL, desarrollada en C++, que permite extraer las credenciales introducidas durante el proceso de inicio de sesión en una sesión de Escritorio Remoto (RDP). Esta herramienta utiliza técnicas de API hooking para interceptar y capturar la información sensible. El proyecto se encuentra disponible en el repositorio de GitHub del autor, S12cybersecurity.
Funcionamiento
Para utilizar esta herramienta, es necesario copiar la biblioteca dinámica RDPcredsStealer.dll a la carpeta C:\Users\Public\Music. El proyecto incluye un binario denominado APIHookInjector que se debe ejecutar para activar el hooking de las APIs necesarias.
Una vez iniciada la sesión RDP, la herramienta intercepta los datos introducidos en el campo de contraseña. Al finalizar el proceso de autenticación, las credenciales capturadas son guardadas en un archivo ubicado en C:\Users\Public\Music\RDPCreds.txt.
Implementación técnica
La herramienta se basa en la función CredUnPackAuthenticationBufferW, perteneciente a la biblioteca credui.dll. Esta función es responsable de desempacar los buffers de autenticación utilizados durante el proceso de inicio de sesión. El código fuente se encuentra disponible en el repositorio GitHub del proyecto.
El hooking de APIs se realiza mediante la librería Detours, que permite interceptar y modificar llamadas a funciones específicas sin alterar su comportamiento original. Esta técnica es comúnmente utilizada en herramientas de análisis de seguridad para monitorear el flujo de datos entre aplicaciones.
Recomendación
El autor del proyecto recomienda compilar la herramienta desde el código fuente proporcionado, en lugar de utilizar versiones precompiladas. Esto asegura que se utilice una versión segura y verificable, evitando posibles modificaciones no deseadas.