Investigando abuso de acesso remoto: framework forense para artefatos do AnyDesk no Windows
Pesquisadores publicam na FSI: Digital Investigation um framework para investigar o uso indevido do AnyDesk em sistemas Windows, mapeando artefatos que permitem reconstruir sessões de acesso remoto durante uma perícia. O artigo aborda um problema recorrente em DFIR: diferenciar suporte técnico legítimo de abuso por operadores de ransomware e fraude.
AnyDesk é uma ferramenta legítima de acesso remoto, mas também um dos binários assinados mais explorados por operadores de ransomware e fraude corporativa (BEC) para manter persistência e se mover lateralmente sem levantar alarmes de antivírus — uma técnica clássica de "living off the land". O artigo, publicado no volume 58 (setembro de 2026) da FSI: Digital Investigation, propõe um framework estruturado para identificar e correlacionar os artefatos que essa ferramenta deixa em um sistema Windows comprometido. O texto completo está atrás do paywall da ScienceDirect, então a análise abaixo é contextual, baseada no escopo declarado do trabalho e no conhecimento já estabelecido sobre forense de RATs.
Esse tipo de framework costuma cobrir logs de conexão e trace do próprio AnyDesk, entradas de registro relacionadas à instalação e ao ID do dispositivo, artefatos de execução (prefetch, amcache, shimcache) e timestamps de sessão que podem ser cruzados com logs de eventos do Windows (Security, Sysmon) para reconstruir quando e por quanto tempo houve acesso remoto não autorizado a uma máquina.
A relevância prática está em que ferramentas RMM/RAT como AnyDesk, TeamViewer e afins seguem entre os vetores mais usados em intrusões reais justamente por não serem sinalizadas como malware. Um framework forense dedicado ajuda peritos a separar uso legítimo de abuso malicioso, reforça a cadeia de custódia da evidência coletada e melhora a precisão ao responder, em laudo, perguntas do tipo "quem acessou o quê e quando" — um ponto frequentemente contestado em casos de exfiltração de dados.