Auf den Punkt: MedusaHVNC nutzt versteckte Windows-Desktops zur Verschleierung von Fernzugriffen, weshalb Netzwerküberwachung als Erkennungsmechanismus kritisch ist.
Der Remote Access Trojaner MedusaHVNC wird als Malware-as-a-Service verbreitet und installiert sich über eine fünfstufige Infektionskette, die Systeme dauerhaft kompromittiert. Die Schadsoftware nutzt für den Angreifer unsichtbare Windows-Desktops, um Aktivitäten vor dem legitimen Benutzer zu verbergen.
Sicherheitsforscher von BlackFog haben die Funktionsweise von MedusaHVNC analysiert. Die Schadsoftware wird über eine eigene Webseite und einen Telegram-Kanal als bezahlter Service angeboten. Die Infektion startet mit der Ausführung eines JScript-Launchers durch wscript.exe, gefolgt von einer Verzögerung von etwa 7,5 Sekunden. Das Skript legt Dateien im Verzeichnis %TEMP%Nx2981Okkr2 ab und schreibt eine Batch-Datei in den Autostart-Ordner, um Persistenz herzustellen.
Die Nutzlast wird über Windows AutoIT in den Prozess charmap.exe injiziert und durch zwei Verschlüsselungsschichten geschützt: zunächst eine 16-Byte-XOR-Operation auf 1.009.152 Bytes des .data-Abschnitts, danach ChaCha20-Entschlüsselung mit 32-Byte-Schlüssel und 12-Byte-Nonce. Die finale PE32+-Datei verbindet sich zur Befehlsserver-Adresse 51.89.204.28 über Port 4444.
Über sein Hidden-VNC-Modul erstellt MedusaHVNC einen separaten, für den angemeldeten Benutzer unsichtbaren Windows-Desktop. Dort können Angreifer Browser wie Chrome, Edge oder Firefox starten und beliebige Aktionen ausführen. Die Software nutzt dabei legitime Windows-APIs wie BitBlt, EnumWindows, PrintWindow, SendInput und SetWindowsHookExW für Bildschirmerfassungen und Benutzerinteraktionen. Zur Datenexfiltration werden auch Zwischenablage-Funktionen (OpenClipboard, GetClipboardData, SetClipboardData) genutzt.
Da sämtliche Aktivitäten auf dem versteckten Desktop stattfinden, bleiben sie auf dem Hauptbildschirm für den Benutzer unsichtbar. Eine Erkennung über die grafische Benutzeroberfläche ist daher nicht möglich. Allerdings lässt sich ein Befall durch die Überwachung des Netzwerkdatenverkehrs aufdecken, da ungewöhnliche Datenabflüsse aus dem System messbar bleiben.
Quelle: www.it-daily.net · Erschienen 1. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.