Um novo malware batizado MedusaHVNC foi noticiado como capaz de assumir o controlo de máquinas Windows sem que a vítima repare, recorrendo à criação de ambientes de trabalho (desktops) ocultos que permanecem invisíveis no ecrã físico. A técnica em causa — conhecida como HVNC (Hidden Virtual Network Computing) — não é nova, mas continua a ser uma das formas mais eficazes de os atacantes contornarem antivírus e análises comportamentais, operando o computador da vítima em paralelo, como se de uma sessão fantasma se tratasse. Abaixo explicamos o que se sabe, o que ainda não está confirmado por fontes primárias e o que cidadãos, PME e profissionais em Portugal devem fazer.
Resposta rápida: O MedusaHVNC é apresentado como mais um malware que usa a técnica HVNC para controlar sistemas Windows através de um desktop oculto, contornando deteções tradicionais. Como a atividade decorre num ambiente invisível para o utilizador, os sinais habituais (janelas, cursor a mexer sozinho) não aparecem. A melhor defesa passa por proteção de endpoint moderna (EDR), cuidado extremo com anexos e instaladores, e ativação de MFA. Não confie apenas no antivírus tradicional.
O que é o HVNC e porque é tão eficaz a esconder-se
Para perceber o MedusaHVNC é preciso primeiro compreender a técnica em que assenta. A empresa de investigação Intrinsec descreve que o HVNC é uma forma sofisticada de acesso remoto concebida para o controlo furtivo de um sistema infetado, operando de forma encoberta e garantindo que o ambiente de trabalho do utilizador infetado permanece inalterado e sem suspeitas enquanto o atacante manipula uma sessão de desktop oculta. Por outras palavras, existem dois ambientes de trabalho: o que a vítima vê e usa, e um segundo, invisível, onde o criminoso trabalha.
Tecnicamente, a equipa de investigação da Cybereason explica que o HVNC recorre à API de Desktop do Microsoft Windows para criar um desktop oculto através da funcionalidade CreateDesktop, e esse desktop dissimulado permanece invisível para os utilizadores, dificultando a tarefa de descobrir a sua presença. A mesma análise sublinha que o hVNC e o hRDP permitem aos atacantes manter acesso persistente e não detetado a sistemas sob o seu controlo, criando sessões de desktop invisíveis, o que desafia os métodos de deteção tradicionais.
A eficácia contra defesas baseadas em comportamento é um dos maiores trunfos. Segundo a análise da CYFIRMA sobre uma família com estas capacidades, as ferramentas HVNC permitem tipicamente aos atacantes estabelecer uma sessão de desktop virtual que permanece oculta do utilizador, possibilitando a interação remota sem retorno visual. Isto significa que muitos dos sinais de alerta que um utilizador esperaria — o rato a mexer-se sozinho, janelas a abrir — simplesmente não acontecem no ecrã que ele está a ver.
MedusaHVNC no contexto de uma família conhecida
O nome MedusaHVNC insere-se numa linhagem de ferramentas HVNC comercializadas em fóruns criminosos, das quais o exemplo mais documentado é o PandorahVNC. A Fortinet documentou, ainda em 2022, uma campanha de phishing que distribuía malware sem ficheiro (fileless) — AveMariaRAT, BitRAT e PandoraHVNC — para roubar informação sensível do dispositivo da vítima. Nessas famílias, o atacante consegue controlar a máquina da vítima clicando com o botão direito sobre o cliente e selecionando os itens do menu num painel de comando e controlo (C2) dedicado.
Importa uma nota de rigor: existem várias ameaças distintas que partilham a raiz “Medusa” e que não devem ser confundidas. A Darktrace alerta expressamente que o ransomware Medusa não deve ser confundido com outro malware de nome semelhante, como o trojan bancário Medusa para Android, o Medusa Botnet/Medusa Stealer ou o ransomware MedusaLocker. O MedusaHVNC, tal como noticiado, refere-se a uma ferramenta de acesso remoto oculto, e não ao conhecido ransomware Medusa (RaaS) nem ao infostealer “Meduza”. Sempre que as fontes públicas usarem o rótulo “Medusa” sem qualificação, convém verificar de qual ameaça se trata.
Como se comporta uma infeção deste tipo
Embora os pormenores específicos do MedusaHVNC (versões, hashes, endereços de C2) careçam ainda de confirmação por fontes primárias no momento da redação, o modus operandi das ferramentas HVNC está bem estabelecido. A análise da CYFIRMA descreve que o malware cria janelas ocultas através da função CreateWindowExW, cada uma com um propósito distinto, mantendo a furtividade e permitindo o controlo remoto por HVNC. Essas janelas invisíveis servem, entre outros fins, de canal de comunicação com o servidor de comando: o malware usa a janela oculta para facilitar a comunicação com o servidor C2 sem o conhecimento da vítima.
Do ponto de vista da fraude financeira, o perigo é evidente. Um relatório da ASEC sobre o uso de malware VNC pelo grupo Kimsuky observou que o atacante consegue controlar o ecrã através de um novo processo explorer.exe, e a interface gráfica dos processos criados enquanto o atacante controla o PC-alvo não fica visível no ecrã do PC da vítima. Na prática, isto permite iniciar sessões em bancos, mover fundos ou aceder a dados sensíveis a partir da própria máquina “de confiança” da vítima, contornando controlos que assumem que o dispositivo legítimo é seguro.
| Característica | VNC/RDP tradicional | HVNC (ex.: MedusaHVNC) |
|---|---|---|
| Visibilidade para a vítima | Visível (janela, cursor, ícone) | Invisível — desktop oculto |
| Deteção comportamental | Mais fácil | Difícil (atividade fora do desktop ativo) |
| Objetivo típico | Administração legítima | Fraude, roubo de credenciais, controlo furtivo |
| Mecanismo Windows | Sessão de desktop ativa | CreateDesktop / desktop secundário |
Mitigação: o que fazer para reduzir o risco
Porque a atividade HVNC é, por definição, pouco visível, a defesa deve ser em camadas e não depender de o utilizador “ver algo estranho”:
- Proteção de endpoint moderna (EDR/XDR): soluções que monitorizam chamadas à API do Windows e criação de desktops têm mais probabilidade de detetar o que um antivírus tradicional deixa passar.
- Desconfiar de anexos e instaladores: campanhas destas famílias começam frequentemente por phishing com ficheiros executáveis, scripts ou instaladores falsos.
- Autenticação multifator (MFA): mesmo que credenciais sejam roubadas ou uma sessão seja manipulada, a MFA resistente a phishing acrescenta uma barreira crítica.
- Princípio do menor privilégio: contas de utilizador sem direitos administrativos limitam a capacidade do malware de criar processos e persistir.
- Monitorização de rede: vigiar ligações a servidores C2 e tráfego anómalo pode revelar a comunicação encoberta descrita pelos investigadores.
- Backups offline e testados: reduzem o impacto caso o acesso furtivo culmine em roubo de dados ou ransomware.
Porque é que isto importa em Portugal
Ferramentas de acesso remoto oculto são um instrumento de eleição para fraude bancária e roubo de dados, dois vetores com impacto direto em cidadãos e PME portuguesas. Para as organizações abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), um comprometimento por HVNC pode configurar um incidente significativo, com deveres de gestão de risco e de notificação ao CNCS/CERT.PT. Se a intrusão resultar em acesso indevido a dados pessoais, entram também as obrigações do RGPD, incluindo a eventual notificação à CNPD e aos titulares dos dados afetados. Reforçar a deteção ao nível do endpoint e a formação anti-phishing não é apenas boa prática — é, cada vez mais, uma exigência de conformidade.
Perguntas frequentes
O MedusaHVNC é o mesmo que o ransomware Medusa?
Não. Apesar do nome partilhado, o MedusaHVNC refere-se a uma ferramenta de acesso remoto oculto (HVNC), enquanto o ransomware Medusa é uma operação de Ransomware-as-a-Service distinta. Existem ainda outras ameaças com nomes semelhantes, como o infostealer Meduza e o trojan bancário Medusa para Android. Convém sempre confirmar de qual ameaça se trata.
Como sei se estou infetado se o desktop é invisível?
Por design, o HVNC não mostra sinais óbvios no ecrã. A deteção fiável exige ferramentas de segurança que monitorizem a criação de desktops e chamadas à API do Windows, além de vigilância de tráfego de rede para servidores de comando e controlo. Um antivírus tradicional pode não bastar.
Como é que estas ferramentas chegam ao computador?
O vetor mais comum é o phishing, com anexos maliciosos, scripts ou instaladores falsos. Campanhas anteriores de famílias HVNC combinaram-nas com outros trojans de acesso remoto entregues por email. Evitar abrir ficheiros inesperados e verificar a origem dos instaladores reduz significativamente o risco.
A MFA protege-me contra HVNC?
A MFA é uma camada importante, sobretudo a resistente a phishing, mas não é infalível: como o atacante pode operar dentro da própria sessão da vítima, deve ser combinada com proteção de endpoint, contas com privilégios mínimos e monitorização de rede. Nenhuma medida isolada é suficiente.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por SecurityWeek, Cybereason, Intrinsec, CYFIRMA, Fortinet, ASEC e Darktrace. Os pormenores específicos do MedusaHVNC devem ser confirmados em relatórios técnicos dos investigadores à medida que forem publicados.