Поиск следов использования AnyDesk на компьютере

AnyDesk — популярная программа для удаленного доступа к компьютерам и смартфонам. Часто ее используют злоумышленники для получения доступа к чужим устройствам. В статье я расскажу о форензическом анализе AnyDesk и покажу, где хранятся логи передачи файлов, история подключений и использования программы на компьютере, а также как их можно извлечь.

Еще по теме: Извлечение данных из браузера

Криминалистический анализ и поиск следов AnyDesk

AnyDesk — это легитимное, не вредоносное программное обеспечение. Его используют компании по всему миру для управления ИТ-системами, а также обычные пользователи, например, для помощи родственникам в решении компьютерных проблем.

Мошенники часто выбирают AnyDesk из-за простоты использования. Кроме того, в программе есть функции, которые позволяют заблокировать доступ владельца к своему компьютеру, из-за чего злоумышленник получает полный контроль над устройством.

Где находится AnyDesk

AnyDesk может работать в двух режимах: быть установленным на компьютер или запускаться без установки. От этого зависит, где на диске будут храниться его файлы и артефакты.

Вот расположение папки AnyDesk:

Версия без установки:

Где spysoftnet —  имя пользователя.

Устанавливаемая версия:

Чтобы понять, каким способом запущен AnyDesk, нужно посмотреть свойства его исполняемого файла. Если программа была запущена злоумышленником, чаще всего она находится в папке Загрузки (Downloads) или на Рабочем столе.

Где находится файл GCAPI.DLL для запуска AnyDesk

Файл GCAPI.DLL необходим для запуска любых версии AnyDesk. Он может находиться рядом с исполняемым файлом программы или или в папке Temp.

Версия без установки:

Устанавливаемая версия:

Если этого файла нет, AnyDesk загрузит его автоматически. В более поздних версиях, из-за уязвимости DLL, используется проверка хеша файла.

Логи входящих запросов в файле Connection_trace.txt

В файле Connection_trace.txt отображаются входящие запросы со статусом:

• User — для локального пользователя, принимающего запрос.
• Passwd — пароль, вводимый удаленной системой.
• Token — удаленный пользователь включает настройку Запоминать пароль (Remember password).
• REJECTED — отклонение запроса локальным пользователем.

Параметры Passwd и Token имеют значение только в том случае, если в локальной системе установлен пароль для неавторизованного доступа.

Важно отметить, что эти параметры используются только для входящих подключений и не содержат информации об исходящих соединениях.

Это позволяет получить временные метки и идентификаторы, которые помогут собрать картину.

История передачи файлов в User.conf

Файл user.conf полезен, если злоумышленник пытался передавать файлы. В нем можно увидеть путь к каталогу, который по умолчанию содержит имя пользователя.

Соединение с этого хоста было «совершенно не хакерским», то есть использовалась локальная учетная запись администратора.

Это говорит о нескольких вещах. Во‑первых, учетная запись local-admin не создается Windows по умолчанию, что указывает на то, что эта учетная запись была намеренно создана с таким именем и, судя по имени, скорее всего является локальной, а не частью домена.

Это также указывает на то, что злоумышленник, скорее всего, работает на этом компьютере от имени администратора.

История использования AnyDesk в файле Ad.Trace

Файл ad.trace представляет собой подробный журнал и позволяет увидеть версию AnyDesk. Это может быть важно, если злоумышленник намеренно использует старую версию программы.

Также можно увидеть версию Windows, используемую жертвой и был ли установлен AnyDesk на момент запуска.

Если посмотреть на версию AnyDesk, которую запускала жертва, то возникает вопрос: зачем использовать старую версию? А потому, что это может быть уязвимая версия, или в ней не добавлены функции, которые компания добавила в новых версиях для противодействия использования программы злоумышленниками.

В файле также можно найти идентификатор, который мы нашли в файле Connection_trace.txt.

Здесь также показана удаленная версия AnyDesk злоумышленника и используемая операционная система.

При написании статьи я специально использовал удаленную версию AnyDesk (злоумышленник), а не просто разместил ее в своей локальной сети, поскольку я видел свой собственный публичный IP-адрес. На следующем скрине показан внешний IP-адрес атакующего.

Конечно, злоумышленник мог использовать прокси или VPN, но это еще один важный артефакт.

Журнал AnyDesk в файле Ad_Svc.Trace

Поскольку в данном сценарии злоумышленник принудительно перезагрузил удаленную машину, мы получили новый артефакт — файл ad_scv.trace. Обычно его можно увидеть только на установленной версии AnyDesk, поскольку это файл журнала службы AnyDesk.

Видно, что перезапуск был инициирован удаленно, а на машине жертвы была создана служба.

Что это означает? Это означает, что злоумышленник установил доступ к комюьютеру, а затем перезапустил его. Такой неконтролируемы владельцем компьютера доступ позволяет злоумышленнику подключиться к компьютеру в любое время.

Далее мы видим, что злоумышленник повторно подключается с тем же идентификатором и тем же IP-адресом.

История чата AnyDesk

Anydesk имеет встроенную функцию чата, которая позволяет удаленному и локальному пользователю общаться с помощью текстовых сообщений. Лог этого файла хранится в подкаталоге каталога AnyDesk.

Здесь будет находиться текстовый файл с именем, соответствующим идентификатору клиента подключающегося AnyDesk. В нем будут содержаться обе стороны разговора в чате. Это может быть очень полезно, если злоумышленник использует его для общения с жертвой. Однако большинство мошенников используют телефон.

Возможно, эти журналы чатов не слишком часто используются мошенниками, но они могут оказаться полезными в других криминалистических расследованиях.

Эскизы изображений AnyDesk

Есть также папка Thumbnails, в которой хранится небольшое изображение удаленного компьютера, подключенного к AnyDesk. Обычно в ней отображаются обои, используемые удаленным компьютером. Она доступна только при исходящем подключении.

Это может оказаться полезным для правоохранительных органов, которым необходимо доказать, что за соединения отвечает именно та машина, которую они исследуют.

Заключение

Мы живем в мире, где мошенничество становится все более изощренным, и защита своих финансов и данных становится приоритетом. Будьте бдительны и интересуйтесь вопросами кибербезопасности. Только знание методов взлома поможет эффективно защититься от них.

ПОЛЕЗНЫЕ ССЫЛКИ:

• Поиск артефактов на компьютере в OS Windows
• Где хранятся файлы Telegram WhatsApp Viber на компьютере
• Криминалистический анализ изображений с помощью Ghiro