Thought Leadership
Die Schadsoftware MedusaHVNC nutzt unsichtbare Windows-Desktops für Fernzugriffe. Angreifer starten dort Browser und umgehen Entdeckungsmethoden.
Sicherheitsforscher des Analyseunternehmens BlackFog haben die Funktionsweise des Remote Access Trojans (RAT) MedusaHVNC untersucht. Die Schadsoftware wird als Malware-as-a-Service über eine eigene Webseite sowie einen Telegram-Kanal vertrieben. Die Infektion erfolgt über eine fünfstufige Kette, die mit der Ausführung eines JScript-Launchers durch die reguläre Systemdatei wscript.exe beginnt. Nach einer Verzögerung von rund 7,5 Sekunden legt das Skript eingebettete Dateien im Verzeichnis %TEMP%\Nx2981Okkr2\ ab und schreibt eine Batch-Datei in den Autostart-Ordner zur dauerhaften Verankerung. Über die Komponente Windows AutoIT wird die verschlüsselte Nutzlast freigelegt und in den Prozess der Windows-Zeichentabelle charmap.exe injiziert. Zur mehrstufigen Entschlüsselung im Hauptspeicher schrieben die Forscher:
„Die erste verwendet eine sich wiederholende 16-Byte-XOR-Operation auf 1.009.152 Bytes aus dem .data-Abschnitt. Die zweite nutzt ChaCha20, um 998.912 Bytes Geheimtext mit einem 32-Byte-Schlüssel, einem 12-Byte-Nonce und einem anfänglichen Zählerwert von 1 zu entschlüsseln.“
BlackFog
Versteckte Benutzeroberfläche und genutzte Systemfunktionen
Die finale Nutzlast liegt als unsignierte PE32+-Datei vor und nimmt Verbindung zur fest hinterlegten Befehlsserver-Adresse 51.89.204.28 über Port 4444 auf. Über ein Hidden-VNC-Modul (HVNC) erstellen Angreifer einen separaten, für den angemeldeten Benutzer unsichtbaren Windows-Desktop. Auf dieser Oberfläche lassen sich Browser wie Chrome, Edge oder Firefox starten. Für Bildschirmerfassungen und Interaktionen nutzt die Software legitime Schnittstellen des Betriebssystems wie BitBlt, EnumWindows, PrintWindow, SendInput und SetWindowsHookExW. Hinsichtlich der Datenübertragung führten die Forscher aus: „Zwischenablage-Funktionen, einschließlich OpenClipboard, GetClipboardData und SetClipboardData, bieten eine weitere Möglichkeit, Informationen in die Sitzung hinein oder aus ihr heraus zu bewegen.“
Erkennung über abfließenden Netzwerkdatenverkehr
Da sämtliche Aktionen auf dem verborgenen Desktop ablaufen, bleiben die Aktivitäten auf dem Hauptbildschirm für den Nutzer unbemerkbar. Eine direkte Entdeckung auf der Benutzeroberfläche ist daher ausgeschlossen. Sicherheitsanalysten verweisen jedoch darauf, dass die Entwendung von Daten weiterhin über die Überwachung des Netzwerkdatenverkehrs identifiziert werden kann, da ungewöhnliche Datenabflüsse aus dem System messbar bleiben.
(red)
