Pesquisadores da empresa de cibersegurança BlackFog identificaram uma nova amostra do “MedusaHVNC”. O programa é um vírus de acesso remoto vendido sob o modelo de malware como serviço. Ele utiliza um módulo oculto de rede virtual e abre um navegador em uma área de trabalho do Windows paralela, totalmente fora do alcance visual da vítima.
O levantamento, publicado pelo especialista em cibersegurança e CEO da BlackFog, Darren Williams, mostra que a ferramenta permite operar de maneira silenciosa no computador infectado. Ao rodar dentro da máquina real, o navegador sequestrado carrega automaticamente o perfil do usuário, com cookies e sessões de login ativas. Assim, o tráfego gerado parece legítimo e consegue burlar sistemas de detecção de fraude bancária que checam localização e dispositivo.
Anúncios em canais do Telegram e em um site voltado exclusivamente ao cibercrime promovem o vírus com recursos avançados de evasão. De acordo com os analistas, o painel do operador permite escolher o aplicativo alvo, ajustar a taxa de quadros e monitorar a navegação em tempo real.
“Encontramos um módulo de computação em rede virtual oculto (HVNC) que abre um navegador em uma área de trabalho Windows separada, fora da vista da vítima. O navegador continua a rodar no dispositivo da vítima, de modo que pode carregar um perfil existente, incluindo cookies e estado da sessão. Isso dá ao operador acesso a sessões ao vivo e conectadas enquanto a atividade continua a vir da máquina habitual da vítima”, destacou Williams, no relatório oficial.
Infecção em cinco etapas e camuflagem no sistema
A investigação revelou que o ataque se desenrola em uma cadeia de cinco estágios para evitar a detecção por antivírus tradicionais. A invasão começa com um script disfarçado que cria arquivos temporários e se fixa na pasta de inicialização do Windows, o que garante que o programa continue ativo mesmo após o computador ser reiniciado.
Na sequência, o malware usa o AutoIt, uma ferramenta legítima de automação do Windows, para descriptografar o primeiro executável. Para se esconder dos sistemas de defesa, o código injeta a carga útil dentro do utilitário Mapa de Caracteres do software (charmap.exe), um processo nativo e confiável do sistema operacional.
O arquivo final ainda passa por mais duas camadas de criptografia antes de estabelecer comunicação com o servidor dos criminosos. Uma vez ativo na área de trabalho secreta, o invasor passa a capturar telas, interceptar a área de transferência (copiar e colar) e simular comandos de teclado e mouse.
Diante do cenário, Darren Williams orienta que as equipes de TI monitorem a execução atípica do utilitário de Mapa de Caracteres e fiquem atentas a conexões não autorizadas de rede.
“Bloquear o tráfego para infraestruturas conhecidas de comando e controle e emitir alertas para conexões de saída inesperadas funciona independentemente de como a sessão foi ocultada. Se a sessão sequestrada não conseguir se comunicar com o exterior, o operador não terá nada a receber”, concluiu.
Falando sobre malwares e segurança digital, uma falha em extensão do Chrome também expôs conversas do WhatsApp. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.