WTSSessionHijacker

Инструмент перехвата сеанса RDP/WTS с использованием API служб терминалов Windows (wtsapi32.dll). Перечисляет все сеансы RDP (WTSEnumerateSessionsW), крадет токены пользователей (WTSQueryUserToken), выполняет вход на основе учетных данных (LogonUserW) и передает информацию через authz.dll (AuthzAddSidsToContext). Очищает журналы событий (ClearEventLogA) и может управлять службами (ControlService). Зашифрованная полезная нагрузка .rsrc размером 300 КБ расшифровывается при запуске