RDP Event ID 25: Sesión reconectada
- Event ID
- 25
- Registro
- Microsoft-Windows-TerminalServices-LocalSessionManager/Operational
- Proveedor
- Microsoft-Windows-TerminalServices-LocalSessionManager
- Archivo
- Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
- Categoría
- Acceso remoto
- Registro predeterminado
- Activado por defecto
Qué significa el evento 25
El evento 25 registra que un cliente volvió a engancharse a una sesión que estaba desconectada (24). No se crea una sesión nueva, así que no hay evento 21: este evento y el 4778 de Seguridad son los registros de la reconexión.
Su campo Address es la IP del cliente que se reconectó, que puede diferir de la que inició sesión originalmente. Eso hace que el 25 sea esencial para seguir el acceso RDP: un atacante que se reconecta a la sesión desconectada de un administrador nunca produce un 21 nuevo.
Cuándo se registra
Ninguno: el canal LocalSessionManager/Operational está habilitado por defecto.
Campos clave
| Campo | Qué indica |
|---|---|
| User | Cuenta propietaria de la sesión. |
| SessionID | Número de la sesión que se reanudó. |
| Address | Dirección IP del cliente que se reconecta, o LOCAL. |
Orígenes legítimos habituales
- Usuarios que retoman su sesión RDP tras una desconexión o desde otro dispositivo.
Qué hacen los atacantes para generarlo
- Reconexión a una sesión privilegiada desconectada con las mismas credenciales desde otro host.
- Toma de control de una sesión RDP, en la que una sesión se asocia a un cliente distinto.
Consejos de investigación
- Compare Address con la del 21 original para ese SessionID.
- Combínelo con el 1149 anterior (la nueva conexión) y con el 4778 / 4624 LogonType 7 o 10 de Seguridad.
Técnicas MITRE ATT&CK
MITRE ATT&CK v19.2. Nombres de técnicas y tácticas según MITRE (en inglés).
Reglas Sigma para este evento
Ninguna regla SigmaHQ incluida apunta específicamente a este Event ID. Las reglas de eventos relacionados pueden cubrir la actividad.
Ejecute estas reglas en sus registros
Suelte un archivo .evtx en el visor: las 2395 reglas SigmaHQ incluidas se ejecutan en su navegador. No se sube nada.