Descoberta e escopo
Analistas de segurança da Malbear Labs identificaram uma nova variante do malware Shadow hVNC, uma ferramenta de acesso remoto projetada para operar de forma invisível no sistema operacional Windows. Diferente de soluções legítimas de acesso remoto, este malware cria um segundo ambiente de desktop oculto, permitindo que criminosos controlem a máquina da vítima sem que ela perceba qualquer movimento do cursor ou alteração na tela visível.
O payload, desenvolvido em linguagem Go e com aproximadamente 16,4 MB, foi anunciado em fóruns criminosos sob o nome de usuário "RemoteX" em março de 2026. A campanha evoluiu para além do implante principal, integrando-se a um ecossistema mais amplo que inclui carregadores (loaders) distribuídos via malspam com notificações falsas de direitos autorais.
Vetor e exploração
O vetor de infecção primário envolve e-mails de phishing direcionados a administradores de páginas de negócios, utilizando anexos que, ao serem abertos, disparam o payload. Uma vez executado, o malware cria um desktop oculto chamado "RemoteXHidden" e anexa um processo trabalhador a ele. Isso permite que o operador inicie navegadores, shells de comando ou PowerShell nessa área invisível enquanto a vítima continua a ver sua área de trabalho normal.
Em um modo avançado conhecido como "Backstage", o malware pode abrir um navegador contra o perfil real da vítima, permitindo que o operador utilize cookies ativos e logins existentes. Isso elimina a necessidade de senhas ou autenticação de dois fatores em muitos casos, pois a sessão já está estabelecida.
Impacto e alcance
O impacto deste malware é severo, especialmente para ambientes corporativos e usuários que acessam serviços financeiros ou de nuvem. O Shadow hVNC é capaz de roubar cookies de navegador, senhas salvas, dados financeiros, tokens de sessão, carteiras de criptomoedas e credenciais de nuvem. A capacidade de injetar cookies roubados em uma sessão oculta permite o roubo de contas sem a necessidade de quebrar senhas ou contornar MFA.
Além disso, o malware inclui uma utilidade embutida chamada lss.exe, capaz de capturar a memória do processo Local Security Authority (LSASS) do Windows quando possui direitos de administrador. Isso facilita a movimentação lateral dentro de uma organização, comprometendo credenciais de domínio e elevando privilégios.
Medidas de mitigação recomendadas
As equipes de segurança devem monitorar a criação de desktops ocultos, arquivos de banco de dados de navegador com sufixo .rxcopy e pastas de staging de perfil sob o caminho RemoteX. É crucial investigar tarefas agendadas inesperadas, novos valores de registro e alterações nas exclusões de ferramentas de segurança.
Em caso de suspeita, os dispositivos devem ser isolados imediatamente, os logs relevantes preservados e as sessões expostas revogadas. A simples troca de senhas não é suficiente; as sessões ativas devem ser invalidadas para prevenir o uso de cookies roubados.
Indicadores de comprometimento (IoCs)
Os seguintes indicadores foram observados na análise do malware e devem ser utilizados para detecção em SIEMs e EDRs:
- Arquivos: lss.exe, WmiPrvSE.exe (watchdog), chrome_injector.exe
- Caminhos: %LOCALAPPDATA%\Microsoft\Windows\WmiPrvSE.exe, %LOCALAPPDATA%\RemoteX\Profiles\
- Rede: ws://<C2>/ws/client?id=<client ID>, hxxp://212.162.150[.]121/v1/verify
- Registro: Chave Run "RemoteX", Serviço "winSvc" (nome de exibição: "mouse driver service")
O que os CISOs devem fazer agora
Executivos de segurança devem priorizar a revisão de logs de acesso remoto e monitorar comportamentos anômalos em estações de trabalho, especialmente aqueles que envolvem terminação de processos de navegador ou criação de sessões ocultas. A integração de feeds de inteligência de ameaças com os indicadores listados acima é essencial para detecção proativa.