O malware MedusaHVNC, vendido como malware‑as‑a‑service, emprega desktops ocultos do Windows para operar sem visibilidade do usuário. A técnica permite que o atacante use ferramentas legítimas do sistema enquanto permanece ‘invisível’ na interface do usuário.

Infection chain detalhada

  • 1. wscript.exe executa um lançador JScript.
  • 2. O script aguarda ~7,5 s e cria arquivos embutidos em %TEMP%\Nx2981Okkr2\.
  • 3. São gravados vários arquivos, incluindo um payload criptografado e um .bat de inicialização para persistência.
  • 4. AutoIT decifra o payload e inicia charmap.exe (Mapa de Caracteres). O loader dentro de charmap.exe contém duas camadas de criptografia: XOR de 16 bytes em 1 009 152 bytes e ChaCha20 em 998 912 bytes (chave 32 bytes, nonce 12 bytes, contador 1).
  • 5. O payload final é um executável PE32+ x86‑64 assinado, contendo a seção .pay e a string de família MedusaHVNC. Ele se comunica com o C2 no endereço 51.89.204.28:4444.

Uso de desktops ocultos

Com o desktop oculto, o operador pode abrir browsers (Chrome, Edge, Firefox) e usar funções do Windows como BitBlt, EnumWindows, PrintWindow para captura de tela, e SendInput, SetWindowsHookExW para entrada sintética. Funções de clipboard (OpenClipboard, GetClipboardData, SetClipboardData) permitem movimentação de dados dentro da sessão.

Impacto prático e mitigação

O RAT permanece persistente e invisível, dificultando a detecção por usuários finais e ferramentas de antivírus que monitoram apenas a interface. A única mitigação óbvia é a detecção de exfiltração de dados inesperada: qualquer tráfego de saída não explicado pode indicar atividade maliciosa.

Com informacoes de SecurityWeek. Texto produzido com apoio de IA e verificado em fontes independentes.

Tambem noticiado por: