Not yet available in English
This page does not exist in English yet. Shown is the version in Deutsch.
Written by kalink0 (Marco Neumann) · Completed on · Not yet reviewed by a second person
MRU - Remote Desktop Connection¶
Bedeutung¶
Das Betriebssystem Windows legt mehrere sogenannte MRU (Most Recently Used) Listen ab. Diese speichern pro Benutzerkonto im Allgemeinen zuletzt aufgerufene oder gespeicherte Dateien, zuletzt ausgeführte Befehle, zuletzt aufgerufene Ordner.
Der Zweck der MRU Listen ist es, den Benutzern ein angenehmeres Bediengefühl zu liefern, indem zum Beispiel dem Nutzer seine zuletzt geöffneten Dateien angeboten werden.
Die Liste wird vom Windows-Client Remotedesktopverbindung (mstsc.exe) geschrieben.
Aus digitalforensischer Sicht bedeuten Einträge in der MRU-Liste für RDC, dass durch den Benutzeraccount versucht wurde eine Remote-Verbindung zu den aufgeführten Hostnamen/IP-Adressen aufzubauen. Die Reihenfolge in der MRU entspricht hierbei der Reihenfolge der jeweils letzten Verbindungsversuche zu den Hostnamen/IP-Adressen.
Spezifische Kurzinformation¶
- Pro IP/Hostname gibt es nur einen Eintrag in der MRU-Liste
- Werte MRU0 bis MRU9, MRU0 ist der neueste Eintrag
- Die letzte Schreibzeit des Schlüssels Default gehört nur zu MRU0
- Der Unterschlüssel Servers enthält pro Ziel einen eigenen Schlüssel mit UsernameHint (verwendeter Benutzername) und ist nicht auf zehn Einträge begrenzt
- Mit mstsc /public werden weder MRU noch Servers geschrieben
- Ablageorte:
HKCU\Software\Microsoft\Terminal Server Client\Default
HKCU\Software\Microsoft\Terminal Server Client\Servers\{HOST}
Referenzen¶
2025-03: https://devolutions.net/blog/using-rdp-without-leaving-traces-the-mstsc-public-mode/
Tools¶
DLEAPP (windowsRdpClientServers) - https://github.com/abrignoni/DLEAPP
RegRipper (tsclient) - https://github.com/keydet89/RegRipper4.0
Velociraptor (Windows.Registry.RDP) - https://docs.velociraptor.app/