In vielen Tenants, die ich mir anschaue, denkt man bei Phishing immer noch zuerst an Word- oder Excel-Dateien mit Makros. Ein Bericht von Microsoft zum Angriff von Midnight Blizzard hat in den letzten Tagen allerdings gezeigt, dass die Angreifer längst weiter sind. Die Gruppe hat gezielt signierte .rdp-Dateien als E-Mail-Anhang verschickt. Viele Schutzmechanismen greifen dabei nicht, und den Rest erledigt die Neugier der Empfänger. Wer eine solche Datei öffnet, verbindet seinen lokalen Client direkt mit einem kompromittierten Server und gibt im schlimmsten Fall sogar Zwischenablage, Drucker oder Laufwerke frei. In Unternehmen, die RDP für den Fernzugriff nutzen, kann das übel ausgehen. RDP-Dateien zu blockieren ist deshalb heute Pflicht.

Midnight Blizzard lockt Empfänger mit signierten RDP-Dateien in die Falle

Der Angriff ist geschickt gemacht und zielt auf menschliche Schwächen. Die Angreifer verschicken sorgfältig formulierte Spear-Phishing-Mails, denen signierte .rdp-Dateien anhängen. Die Signatur soll an automatischen Filtern vorbeikommen und beim Empfänger Vertrauen wecken. Öffnet jemand die Datei, baut der RDP-Client eine Verbindung zu einem fremden Host im Internet auf, und zwar mit sämtlichen Ressourcenfreigaben, die RDP zu bieten hat. Heimtückisch ist vor allem, dass die Konfiguration lokale Laufwerke, die Zwischenablage und weitere Ressourcen einbinden kann. Daten abzuziehen oder Schadsoftware einzuschleusen, ist damit praktisch eine Sache von einem Doppelklick. Die Einzelheiten hat Microsoft ausführlich beschrieben (Blogpost vom 29.10.2024).

Anlagenfilter und Firewall halten RDP-Dateien in der Praxis auf

Als Erstes sollten solche Anhänge schon am E-Mail-Gateway, also in Exchange Online, hängen bleiben. Microsoft Defender for Office 365 bringt dafür die Anti-Malware-Richtlinie mit dem Filter für „häufige gefährliche Dateianhänge“ mit. Dort sollte man auf jeden Fall nachsehen, ob .rdp bereits auf der Liste steht. Inzwischen ist das standardmäßig so, doch eigene Anpassungen oder alte Richtlinien können diese Schutzschicht aushebeln. Kontrollieren und ergänzen lässt sich die Liste im Microsoft-Defender-Portal (→ E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → Anti-Malware) (Dokumentation).

Praktischer Tipp: Selbst wenn .rdp-Dateien schon blockiert werden, sollte man die benutzerdefinierten Anlagenfilter regelmäßig durchsehen, vor allem wenn mehrere Richtlinien aktiv sind. Alte Einstellungen bleiben aus Kompatibilitätsgründen oft jahrelang bestehen und reißen dann unbemerkt Lücken.

Mit dem Mailfilter allein ist es aber nicht getan. Die Netzwerksicherheit ist mindestens genauso wichtig. Ausgehende RDP-Verbindungen (TCP 3389) ins Internet gehören an der Firewall grundsätzlich gesperrt. Das gilt für die klassische Firewall am Standort ebenso wie für die Endpoint-Firewall, gerade auf mobilen Geräten. Wer RDP ausnahmsweise nach außen braucht, beschränkt das auf eigens dafür vorgesehene, gehärtete Systeme und feste IP-Adressen. In Umgebungen mit Entra ID und Intune lassen sich über Konfigurationsprofile zusätzliche Einschränkungen setzen, etwa mit der Richtlinie „Nur Verbindungen zu vertrauenswürdigen RDP-Publishern zulassen“. Dann öffnen sich .rdp-Dateien ohne gültige Signatur oder von unbekannten Herausgebern gar nicht erst.

Advanced Hunting spürt E-Mails mit .rdp-Anhängen auf

Zum Glück hinterlassen solche Angriffe Spuren. In Microsoft Defender XDR lässt sich per Advanced Hunting gezielt nach E-Mails suchen, die einen .rdp-Anhang enthielten. Dafür braucht man mindestens Defender for Office 365 Plan 2 oder eine passende Microsoft-365-E5-Lizenz und dazu die Rolle „Security Reader“ oder eine höhere. Mit der folgenden KQL-Abfrage finden Sie alle E-Mails mit .rdp-Anhang („Microsoft Defender-Portal → Hunting → Erweiterte Suche“):

EmailAttachmentInfo
| where FileType == "rdp" or FileName endswith ".rdp"

Ob Benutzer die Anhänge geöffnet oder gespeichert haben, lässt sich je nach Endpoint-Konfiguration über Defender for Endpoint oder die Windows-Ereignisanzeige weiter untersuchen. In größeren Umgebungen lohnt es sich, für solche Treffer eine Warnung einzurichten und sie regelmäßig auszuwerten (Tabelle EmailAttachmentInfo).

Die einzelnen Schutzmaßnahmen greifen wie eine Kette ineinander

Weil hier mehrere Schutzebenen zusammenspielen müssen, macht ein kleines Ablaufdiagramm die Zusammenhänge deutlicher. Zwischen der eingehenden E-Mail und der lokalen Ausführung gibt es mehrere Abzweigungen, an denen sich der Angriff stoppen lässt:

flowchart TD
Eingang["E-Mail mit .rdp-Anhang"] --> Filter["Anti-Malware-Filter Exchange Online"]
Filter -- "blockiert" --> Geloescht["E-Mail verworfen"]
Filter -- "nicht blockiert" --> Benutzer["Benutzer öffnet Anhang"]
Benutzer --> RDPClient["RDP-Client startet Verbindung"]
RDPClient --> Firewall["Firewall prüft Ziel"]
Firewall -- "extern geblockt" --> Verweigert["Verbindung verweigert"]
Firewall -- "Zulässig" --> Risiko["Zugriff auf Angreiferserver"]

Abbildung: Die Schutzkette gegen bösartige RDP-Dateien hält nur, wenn jede Ebene funktioniert.

Ohne geschulte Anwender bleibt jede Technik lückenhaft

Technik ist die eine Seite, entscheidend bleibt aber wie so oft die Schulung der Benutzer. Viele Anwender wissen schlicht nicht, dass auch von .rdp-Dateien eine Gefahr ausgeht. Awareness-Kampagnen und Schulungen sollten diese Szenarien deshalb unbedingt aufgreifen, am besten anhand echter Beispiele und mit der unmissverständlichen Regel, dass RDP-Dateien aus E-Mails nicht geöffnet werden. Wer sich tiefer einlesen möchte, findet bei mir Beiträge zu AiTM-Phishing und zu den voreingestellten Sicherheitsrichtlinien von Defender for Office 365. Die Angreifer entwickeln ihre Methoden ständig weiter, und unser Schutz muss mithalten.

Meine Einschätzung: Wer RDP-Dateien blockiert, den Netzwerkzugriff streng regelt und neue Phishing-Varianten im Blick behält, bringt seine Nutzer und Systeme 2024 aus der Schusslinie. Keine Maßnahme hilft gegen jeden Angriff, erst im Zusammenspiel entfalten sie ihre Wirkung.