Análise forense de artefatos do RDP no Windows: o que cada vestígio prova (e o que não prova)
A Magnet Forensics publicou um guia técnico sobre os artefatos deixados por conexões RDP em ambos os lados da sessão — registro, logs de eventos, cache de bitmap e evidências de execução do mstsc.exe — e como correlacioná-los numa linha do tempo confiável. O artigo reforça que nenhum artefato isolado prova a história completa de uma sessão remota.
RDP é um dos protocolos mais usados tanto por administradores legítimos quanto por atacantes em movimento lateral, o que torna sua reconstrução forense recorrente em quase todo incidente que envolve Windows em rede corporativa. O artigo organiza os artefatos em duas pontas: o lado cliente (de onde a conexão partiu) e o lado servidor (quem recebeu a conexão), mostrando que cada ponta guarda pistas diferentes e complementares.
No cliente, o histórico de MRU do Terminal Server Client no registro e o campo UsernameHint indicam para onde o usuário tentou se conectar e com qual conta — mas isso só prova intenção de conexão, não que a autenticação foi bem-sucedida. Evidências de execução do mstsc.exe (Prefetch, UserAssist, Amcache, ShimCache) corroboram que o cliente RDP foi efetivamente executado naquele host. Já do lado servidor, os Event IDs 1024 e 1149 (operacional/RemoteConnectionManager) marcam a tentativa e a chegada da conexão, enquanto o Event 4624 tipo 10 (RemoteInteractive) no log de Security confirma logon bem-sucedido, e os Events 21-25 do LocalSessionManager reconstituem o ciclo completo da sessão: logon, início de shell, desconexão, logoff e reconexão.
Um artefato particularmente interessante é o cache de bitmap, remanescente de uma técnica antiga de otimização de performance do próprio protocolo: fragmentos de janelas, exploradores de arquivos ou terminais que passaram pela tela da sessão remota podem ficar armazenados em disco, parcialmente, e às vezes sobrescritos. Esse fragmento visual pode ser evidência valiosa em casos de exfiltração — mostrando, por exemplo, uma janela de um compartilhamento de rede sendo navegada — mas não identifica com certeza quem agiu na sessão.
O ponto central do artigo é metodológico e vale para qualquer perícia de protocolo remoto: artefatos individuais respondem perguntas parciais (tentativa, execução, logon, conteúdo visual), e só a correlação temporal entre registro, logs de evento, prefetch/shimcache e cache de bitmap permite reconstruir com confiança o que de fato aconteceu numa sessão RDP suspeita — incluindo se houve uso de redirecionamento de clipboard ou de unidades para movimentação de arquivos.