Kan dat ook bij een volledig gepatched systeem?

RDP gaat ook nooit weg hé. Gemakzucht.

Ja. Dit soort malware maakt geen gebruik van kwetsbaarheden waar patches voor bestaan, maar van social engineering waarmee wordt geprobeerd gebruikers over te halen om het uitvoeren van macro's toe te staan.

De malware die dan gedownload wordt kan "ongestraft" toetsaanslagen in andere applicaties monitoren omdat die functionaliteit standaard is ingebouwd in Windows, en nooit is verwijderd omdat ook legitieme software gebruik maakt van deze functionaliteit (denk bijv. aan software die reageert op "hot keys" om gewenste -meestal configureerbare- handelingen uit te voeren).

Ook is het, bij de meeste actuele malware, niet zo dat je volledig beschermd bent als je geen adminrechten gebruikte op het moment dat je de betreffende malware startte (de kans op permanente schade aan je systeem, zoals het blokkeren van de download van antivirus-updates of wijzigen van firewall-instellingen, is natuurlijk wel kleiner als je geen admin rechten gebruikt). M.a.w. dit soort malware heeft er meestal genoeg aan om te mogen wat jij mag (en heeft dus geen privilege escalation en/of UAC exploit nodig om haar "werk" te kunnen doen, waaronder het naar criminelen sturen van afgekeken logingegevens).

Wanneer worden mensen eens *NIET* gehacked als dat al jaren zo is, dan hang ik de vlag buiten.

Net als SSH, gemakzucht

Deze protocollen zijn geen gemakzucht, maar zijn essentieel voor het uitvoeren van dagelijkse beheertaken. Zonder deze protocollen zou dat niet mogelijk zijn. Als je tevens versies gebruikt die up-to-date zijn heb je daar geen beveiligingsprobleem en is de kans op inbraak door het protocol zelf minimaal. Het is het gemakzucht of de onkunde van de beheerders die de protocollen niet goed beveiligen en niet filteren op basis van toegang op een IP adres / subnet of een manier van VPN vereisen alvoren ze bij de servers kunnen via deze protocollen of een gemakkelijk standaard wachtwoord gebruiken of 1 beheerderswachtwoord voor alle accounts gebruiken.

Wat is volgens jou een goed alternatief dan?

Virtual Private Netwerk met een beter wachtwoord mgmt systeem of gewoon keyfiles met een OTP 2way auth. token.

In elk geval geen RDP aan de buitenkant. SSH is veilig te maken zodat je dat wel aan de buitenkant kunt laten luisteren, RDP niet.