Uma nova ameaça de cibersegurança do tipo Trojan de acesso remoto, batizada de MedusaHVNC, permite que atacantes controlem computadores sem que os utilizadores se apercebam de qualquer atividade suspeita. Conforme avançado pelo Cybersecurity News com base em investigações da empresa BlackFog, o malware cria uma área de trabalho virtual oculta na própria máquina infetada, carregando o perfil real do navegador com cookies de sessão e credenciais guardadas.
Como o acesso do atacante é realizado diretamente a partir do dispositivo da vítima, a navegação surge associada ao endereço e à máquina de confiança. Esta técnica permite contornar os sistemas de validação geográfica e de dispositivo utilizados por bancos e serviços online para travar fraudes. A ferramenta é comercializada no modelo de malware como serviço através de um site próprio e de um canal na plataforma Telegram.
Estrutura da infeção em cinco etapas
O processo de comprometimento desenvolve-se em cinco fases distintas. O arranque ocorre quando o Windows Script Host executa um iniciador em JScript ofuscado, responsável por reconstruir componentes ocultos numa pasta temporária e criar um mecanismo de persistência na pasta Startup para resistir a reinícios do sistema.
De seguida, um interpretador AutoIt descritografa a primeira carga útil nativa recorrendo a uma chave XOR simples, injetando o código no utilitário Mapa de Caracteres do Windows (charmap.exe). Esta técnica de utilização de ferramentas legítimas do sistema ajuda a ocultar a atividade maliciosa entre processos fidedignos. O desempacotamento da carga útil final de 64 bits envolve mais duas camadas de encriptação com XOR e ChaCha20, estabelecendo depois ligação com um servidor de comando e controlo através de sockets TCP diretos.
Extração de dados e controlo via APIs nativas
Uma vez ativo na máquina, o MedusaHVNC utiliza APIs nativas do sistema operativo para operar a área de trabalho oculta com o seu próprio processo explorer.exe. Para a captura de ecrã e janelas, o código emprega as funções BitBlt, EnumWindows e PrintWindow. A simulação de comandos e interação com o utilizador é realizada via SendInput e SetWindowsHookExW, enquanto o roubo e injeção de conteúdos da área de transferência depende das APIs OpenClipboard, GetClipboardData e SetClipboardData.
O painel de controlo disponibilizado aos compradores permite selecionar a aplicação alvo, iniciar a sessão oculta e ajustar parâmetros como a taxa de fotogramas e a qualidade de imagem durante a transmissão em direto. Além disso, a funcionalidade "Mem Exec" executa cargas úteis nativas e .NET diretamente em memória com desvio das defesas AMSI e ETW, enquanto o módulo "Browser Recovery" extrai palavras-passe, cookies e histórico de navegação dos browsers Chrome, Edge, Brave e Firefox, além da aplicação Telegram.
Indicadores de monitorização para equipas de segurança
Para identificar a presença deste tipo de ameaça, as equipas de cibersegurança devem monitorizar a criação não habitual de processos filhos associados ao utilitário charmap.exe e a execução atípica de scripts AutoIt. Entradas desconhecidas na pasta Startup e ligações de saída direcionadas a portas altas não habituais constituem igualmente sinais de alerta para a atividade do MedusaHVNC em redes corporativas e pessoais.
Nenhum comentário
Seja o primeiro!