¿Hay alguna vulnerabilidad que permita a un usuario "simular" un sistema de captura de pantalla?

Sí, siempre que el usuario de la computadora obtenga el acceso adecuado para escribir en la memoria de su software de captura.

El atacante podría usar el enlace de API para falsificar la captura de pantalla. enlace Es el mismo método utilizado en malware y hacking de juegos.

Querrá asegurarse de que el usuario no obtenga los derechos de administrador y no pueda usar la API OpenProcess en sus procesos protegidos.

Si está preguntando si un usuario podría mostrar una pantalla arbitraria, entonces sí. Cualquier software que pueda mostrar una imagen de pantalla completa (es decir, mostrar una imagen que no esté en una ventana, pero que se muestre en todo el estado real de la pantalla) es capaz de falsificar su sistema. La mayoría del software de edición de fotos puede hacer esto, al igual que cualquier software de reproducción de video, o incluso los navegadores web. Podía hacer una sesión de fotos con una imagen de alta precisión de un escritorio normal con cualquier otra cosa que quisiera mostrar. Si está preguntando si el usuario podría hacer que el sistema de captura capture una imagen mientras el mismo usuario estaba haciendo otra cosa, entonces esto depende de su software de captura de imagen. Sin privilegios de administrador, probablemente no directamente en la estación de trabajo. Probablemente tendría que atacar el sistema conectando una de mis computadoras a la red e interceptando las solicitudes de red del servidor al cliente. Probablemente no sería demasiado difícil para mí, si tuviera acceso a su red, conectar una computadora portátil y rastrear su red para averiguar el protocolo que usa su servidor central para solicitar capturas de pantalla, y luego construir un software que responda como Si se tratara de una de las estaciones de trabajo y devolver una imagen de mi elección. Su sistema necesita realizar una autenticación bidireccional con algún tipo de protocolo que no esté sujeto a ataques de intermediario, como SSL.

Sí, eso suena bastante engañoso. Tome algunas capturas de pantalla de la actividad habitual con la demora adecuada, luego haga que algo muestre la siguiente cada vez que se tome una captura de pantalla. Aparte de eso, depende de los privilegios que tenga el usuario y de lo que quiere decir con "actividad sospechosa". Una memoria USB precargada con cualquier cosa y enmascarada como un documento, por ejemplo, no tendría que ejecutarse de manera visible.