MedusaHVNC, un troyano de acceso remoto (RAT) ofrecido como malware-as-a-service (MaaS), utiliza escritorios virtuales ocultos en Windows para operar sin ser detectado, permitiendo a los atacantes controlar sistemas comprometidos de forma persistente y encubierta.
Por qué importa: Esta técnica aprovecha funciones legítimas de Windows para evadir la detección tradicional, complicando la identificación de actividades maliciosas en entornos corporativos y personales.
Lo esencial
- MedusaHVNC ejecuta navegadores legítimos en escritorios ocultos para ocultar su actividad.
- El malware emplea una cadena de infección en cinco etapas con múltiples capas de cifrado.
- La comunicación con el servidor de comando y control (C2) está codificada y utiliza funciones legítimas de Windows para interacción y captura.
Uso de escritorios ocultos para ocultar actividad maliciosa
MedusaHVNC aprovecha la capacidad legítima de Windows para crear escritorios virtuales ocultos. En estos escritorios, el malware lanza navegadores como Chrome, Edge o Firefox, que son controlados remotamente por el atacante sin que el usuario pueda verlo. Esto permite que la actividad maliciosa pase desapercibida mientras se interactúa con el sistema comprometido.
Cadena de infección y persistencia compleja
El proceso de infección comienza con la ejecución de un script JScript a través de wscript.exe, que luego crea archivos cifrados en la carpeta temporal. Utiliza AutoIT para descifrar el payload y ejecuta charmap.exe, un programa legítimo de Windows, para cargar el malware. Este contiene dos capas de cifrado: un XOR repetitivo y ChaCha20, que protegen el código malicioso y dificultan su análisis.
