Um novo trojão de acesso remoto (RAT) chamado MedusaHVNC foi descoberto por pesquisadores de segurança, representando uma evolução nas técnicas de Hidden Virtual Network Computing (HVNC) utilizadas para fraudes bancárias. O malware permite que atacantes abram um desktop virtual oculto no computador da vítima, carregando silenciosamente perfis de navegador reais, cookies e sessões logadas sem deixar sinais visíveis de intrusão.
Descoberta e escopo da ameaça
De acordo com pesquisadores da BlackFog, o MedusaHVNC é comercializado como malware-as-a-service através de um site dedicado e canais do Telegram. A ferramenta representa uma evolução das técnicas HVNC, que há muito tempo são utilizadas em fraudes bancárias, agora embaladas para compra e implantação fáceis por criminosos. O malware cria um desktop Windows completamente separado com seu próprio processo explorer.exe, o que significa que a tela da vítima não mostra nada incomum enquanto o atacante opera livremente nos bastidores.
Porque o navegador sequestrado roda na máquina infectada real usando seu perfil real, cookies de sessão e logins salvos, o tráfego parece originar-se do dispositivo confiável da vítima, contornando muitas detecções de fraude baseadas em localização e dispositivo usadas por bancos e outros serviços. Isso torna a detecção extremamente difícil para soluções de segurança tradicionais que dependem de assinaturas ou comportamentos visíveis na interface gráfica.
Vetor de infecção e execução
A infecção ocorre em cinco etapas distintas, começando quando o Windows Script Host executa um lançador JScript ofuscado que reconstrói componentes ocultos sob uma pasta temporária e deixa um mecanismo de persistência na pasta Inicial para que o malware sobreviva a uma reinicialização. Um interpretador AutoIt então descriptografa o primeiro payload nativo usando uma chave XOR simples antes de injetá-lo no utilitário legítimo do Windows Character Map (charmap.exe), uma técnica clássica de living-off-the-land que ajuda o malware a se misturar com processos do sistema confiáveis.
Essa abordagem de evasão também é vista em outras ameaças da família Medusa que abusam de ferramentas legítimas e drivers assinados para desviar da detecção. Duas camadas adicionais de criptografia, incluindo XOR e ChaCha20, descompactam o payload final de 64 bits, que se comunica com um servidor de comando e controle codificado no código-fonte através de sockets TCP brutos. Uma vez ativo, o payload usa APIs nativas do Windows para operar totalmente o desktop oculto.
Capacidades e funcionalidades
O MedusaHVNC é anunciado com uma funcionalidade "Mem Exec" para executar payloads .NET e nativos na memória, juntamente com bypasses de AMSI e ETW. Além disso, possui uma função "Browser Recovery" que extrai senhas salvas, cookies e histórico de navegação do Chrome, Edge, Brave, Firefox e Telegram. O painel de operador permite que um comprador selecione um aplicativo de destino, inicie uma sessão de desktop oculto e ajuste a taxa de quadros e a qualidade da imagem enquanto observa uma visualização ao vivo do navegador comprometido.
As capacidades incluem captura de tela e janela via BitBlt, EnumWindows e PrintWindow; entrada sintética e interação através de SendInput e SetWindowsHookExW; roubo e injeção de área de transferência usando OpenClipboard, GetClipboardData e SetClipboardData; e suporte direcionado para sessões de navegador Chrome, Edge e Firefox. O design do MedusaHVNC reflete tendências mais amplas entre as ameaças marcadas como Medusa, onde operadores favorecem binários living-off-the-land, execução na memória e ferramentas legítimas de acesso remoto para evadir a detecção de endpoint enquanto mantêm acesso persistente e de baixa visibilidade.
Indicadores de comprometimento e detecção
As equipes de segurança devem observar processos filhos inesperados sob charmap.exe, execução incomum de scripts AutoIt, entradas suspeitas na pasta Inicial e conexões de saída para portas altas incomuns, já que esses indicadores comportamentais podem revelar atividade HVNC mesmo quando o malware em si evade a detecção baseada em assinatura. A detecção comportamental é crucial, pois o malware não deixa rastros visíveis na interface do usuário.
Implicações para o setor financeiro
Esta ameaça tem implicações diretas para o setor financeiro, onde a fraude bancária é uma prioridade. A capacidade de operar um desktop oculto com credenciais reais permite que os atacantes realizem transações bancárias sem disparar alertas de segurança baseados em dispositivo ou localização. Isso representa um risco significativo para instituições que dependem de detecção de anomalias baseada em comportamento de usuário.
Recomendações para CISOs
Os CISOs devem priorizar a monitoração de processos filhos e a execução de scripts não autorizados. A implementação de soluções de detecção de comportamento (EDR/XDR) que possam identificar injeção de código em processos legítimos é essencial. Além disso, a revisão de políticas de acesso e a implementação de autenticação multifator (MFA) podem mitigar o impacto caso as credenciais sejam comprometidas.
Perguntas frequentes
Como o MedusaHVNC difere de outros RATs? A principal diferença é a capacidade de operar um desktop oculto sem afetar a interface do usuário visível, tornando a detecção visual impossível.
É possível remover o malware? Sim, mas requer ferramentas especializadas de remoção e análise forense para garantir que todos os componentes ocultos sejam eliminados.
Conclusão
O MedusaHVNC representa uma evolução significativa nas táticas de criminosos cibernéticos, focando em evasão e persistência. A capacidade de operar silenciosamente em desktops ocultos torna essa ameaça particularmente perigosa para organizações que dependem de segurança baseada em perímetro. A adoção de estratégias de detecção comportamental e monitoramento contínuo é fundamental para mitigar os riscos associados a essa nova variante de malware.