Europese overheden en militaire organisaties zijn vorig jaar oktober het doelwit geweest van phishingaanvallen waarbij .rdp-bestanden als e-mailbijlage werden verstuurd, zo heeft Google nu bekendgemaakt. Daarbij maakten de aanvallers gebruik van twee minder bekende features van het RDP-protocol. Via het remote desktop protocol is het mogelijk om op afstand toegang tot een systeem te krijgen.

De phishingaanvallen begonnen met een e-mail over een project waar onder andere Microsoft en Amazon bij betrokken zouden zijn. De meegestuurde e-mailbijlage, een .rdp-bestand, zou zogenaamd een applicatie zijn die betrekking op het project had. Wanneer doelwitten het .rdp-bestand openden werd er een verbinding van hun machine naar het RDP-systeem van de aanvallers opgezet.

Via de opgezette verbinding kregen de aanvallers lees- en schrijftoegang tot alle schijven en clipboard content van het slachtoffer. Zo was het mogelijk om bestanden te stelen en informatie uit het clipboard te halen, zoals wachtwoorden. Ook omgevingsvariabelen konden de aanvallers op deze manier buitmaken, alsmede WebAuthn requests. Daarnaast werd er gebruikgemaakt van de RemoteApp feature van RDP. Via deze feature konden de aanvallers een malafide applicatie aan de aangevallen machine aanbieden.

Deze applicatie, die werd gehost op de RDP-server van de aanvallers, deed zich voor als een lokaal geïnstalleerd programma. De applicatie stond niet op de machine van het slachtoffer, maar werd gepresenteerd als een native applicatie. De enige indicator was het RDP-symbool op de taakbalk. Het uiteindelijke doel van deze applicatie kon Google niet achterhalen, zo laat het techbedrijf weten. Mogelijk zou het zijn gebruikt om het slachtoffer verdere acties uit te laten voeren, waardoor de aanvallers het systeem verder konden compromitteren.

"Deze campagne laat zien wat de beveiligingsrisico's van obscure RDP-functies zijn, wat het belang van waakzaamheid en proactieve verdediging aantoont", aldus Google. "In deze specifieke campagne, waar de controle over het aangevallen systeem beperkt leek, draaiden de voornaamste mogelijkheden rond het stelen van bestanden, onderscheppen van clipboard-gegevens en toegang tot omgevingsvariabelen. Het is waarschijnlijk dat deze campagne gericht was op spionage en het manipuleren van gebruikers."