Investigadores de segurança identificaram um novo trojan de acesso remoto (RAT) que representa uma ameaça particularmente sofisticada para utilizadores de Windows. Segundo a empresa BlackFog, que analisou uma amostra do malware, o MedusaHVNC abre um segundo ambiente de trabalho invisível no computador da vítima e lança nele um navegador real, aproveitando o perfil, os cookies e as sessões já autenticadas — tudo sem qualquer sinal visível no ecrã. Vendido como malware-as-a-service (MaaS) através de um site próprio e de um canal de Telegram, o MedusaHVNC coloca uma técnica outrora reservada a fraude bancária avançada ao alcance de qualquer criminoso disposto a pagar.
Resposta rápida: O MedusaHVNC é um RAT vendido como serviço que cria um ambiente de trabalho oculto no Windows para operar o navegador da vítima com as suas sessões já iniciadas, contornando defesas baseadas em dispositivo e localização. A infeção começa com um script JScript e injeta código no processo legítimo charmap.exe. A melhor defesa passa por vigiar o tráfego de saída para o servidor de comando e controlo, evitar ficheiros e ligações suspeitas e reforçar a autenticação multifator.
O que torna o MedusaHVNC diferente
A técnica de HVNC — Hidden Virtual Network Computing — não é nova, mas aqui está aplicada de forma especialmente perigosa. Os ambientes de trabalho ocultos são uma funcionalidade legítima do Windows, normalmente usada por software especializado e ocasionalmente abusada por malware. O MedusaHVNC repurpõe essa capacidade: abre um navegador num ambiente de trabalho separado, fora da vista da vítima, que continua a correr no dispositivo desta e a carregar um perfil existente, incluindo cookies e estado de sessão.
A consequência é subtil mas grave. Como o navegador sequestrado corre na máquina real da vítima e usa as suas sessões legítimas, o tráfego parece ter origem no dispositivo de confiança do utilizador, contornando muitas deteções de fraude baseadas em localização e dispositivo usadas por bancos e outros serviços. Por outras palavras, o atacante não precisa de forjar uma página de login falsa: a vítima já se autenticou, e é o próprio equipamento que passa a ser o caminho de acesso de confiança.
Este modelo distingue-se do simples roubo de credenciais. Em vez de depender apenas de nomes de utilizador e palavras-passe roubados, o software foi desenhado para permitir que os operadores trabalhem diretamente dentro do ambiente de navegação atual da vítima.
Como funciona a cadeia de infeção
A BlackFog documentou uma cadeia de infeção em cinco fases, concebida para escapar à análise estática em cada etapa. Tudo começa quando o legítimo wscript.exe executa um lançador em JScript; o script aguarda pouco mais de 7,5 segundos e depois cria os seus ficheiros embebidos em %TEMP%\Nx2981Okkr2\.
De seguida, são escritos vários componentes em disco, incluindo um interpretador AutoIt chamado eepcxlhgdz.exe, um ficheiro de configuração e uma carga cifrada sem extensão chamada zorsxklxfehdoals, além de colocar AFLlvOscPj.bat na pasta de Arranque para garantir persistência após reinício. O AutoIt, uma ferramenta de automação legítima do Windows, entra então em ação: decifra a carga com uma chave XOR de um único byte, o valor 0xAE, produzindo o primeiro executável nativo de 64 bits da cadeia.
O passo seguinte é o mais engenhoso. A fase AutoIt arranca C:\Windows\System32\charmap.exe — o utilitário Mapa de Caracteres do Windows — e injeta o carregador nesse binário de sistema de confiança, usando-o como hospedeiro da carga. Dentro de charmap.exe, o carregador aplica ainda uma passagem XOR de 16 bytes sobre pouco mais de um milhão de bytes e, depois, uma decifração ChaCha20 com chave de 32 bytes e nonce de 12 bytes, antes de o malware final surgir.
| Fase | Componente / técnica |
|---|---|
| 1 | wscript.exe executa lançador JScript e aguarda ~7,5 s |
| 2 | Escrita de ficheiros em %TEMP%\Nx2981Okkr2\ e persistência via .bat no Arranque |
| 3 | Interpretador AutoIt decifra a carga com XOR de 1 byte (0xAE) |
| 4 | Injeção do carregador em charmap.exe (binário de sistema confiável) |
| 5 | Decifração adicional (XOR + ChaCha20) e execução do RAT MedusaHVNC |
Capacidades e funções anunciadas
Uma vez ativa a sessão oculta, o malware apoia-se quase inteiramente em funções legítimas do Windows para operar. O código inclui funções associadas a captura de ecrã e de janelas, entrada sintética e acesso à área de transferência: BitBlt, EnumWindows e PrintWindow para observação; SendInput e SetWindowsHookExW para interação; e OpenClipboard, GetClipboardData e SetClipboardData para mover informação. O uso destas APIs comuns torna a atividade difícil de distinguir de aplicações legítimas.
Do lado comercial, o produto é agressivamente promovido. O vendedor anuncia execução em memória de cargas .NET e nativas, extração de palavras-passe e cookies, e suporte para navegadores como Chrome, Edge, Brave e Firefox, além do Telegram. A função de recuperação de navegador retira dados de sessões já autenticadas, dispensando o atacante de forjar ecrãs de login. O painel do operador e o site do vendedor mostram o que o MedusaHVNC promete, num exemplo claro da industrialização das ferramentas de cibercrime.
Indicadores de comprometimento (IOCs)
| Tipo | Indicador |
|---|---|
| Servidor C2 | 51.89.204.28:4444 (fixo no binário) |
| Diretório de staging | %TEMP%\Nx2981Okkr2\ |
| Persistência (Arranque) | AFLlvOscPj.bat |
| Carga cifrada | zorsxklxfehdoals |
| Interpretador AutoIt | eepcxlhgdz.exe |
| Ficheiro de configuração AutoIt | wvwxrhlfxquucjpewcitbkp.cfg |
| Alvo de injeção | C:\Windows\System32\charmap.exe |
Estes indicadores conhecidos incluem o servidor de comando e controlo em 51.89.204.28:4444, o diretório temporário, o artefacto de arranque, a carga cifrada e o ficheiro de configuração AutoIt, com a injeção a ter como alvo charmap.exe. Note-se que a infraestrutura fixa é uma faca de dois gumes: é simples para o atacante gerir, mas também constitui um alvo estável que os defensores podem bloquear assim que o identifiquem.
Como detetar e mitigar
Uma vez que grande parte da atividade fica invisível para o utilizador, a deteção depende de sinais comportamentais e, sobretudo, do tráfego de rede. Para o operador usar a sessão oculta, o MedusaHVNC tem de enviá-la para fora do dispositivo infetado, o que faz do tráfego de saída um ponto prático para detetar e interromper o ataque, independentemente do carregador ou da técnica de evasão usada.
- Vigiar processos-filho inesperados sob
charmap.exe, execução invulgar de scripts AutoIt, entradas suspeitas na pasta de Arranque e ligações de saída para portas altas pouco comuns - Bloquear a infraestrutura de C2 conhecida e monitorizar os endpoints quanto a ligações de saída anómalas
- Perante deteção, isolar de imediato o endpoint afetado, identificar o caminho de entrega do lançador JScript e verificar mecanismos de persistência na pasta de Arranque
- Rever registos de sessão e de autenticação em busca de atividade não autorizada durante a janela de comprometimento
- Reforçar a autenticação multifator e reduzir a validade das sessões, dado que o abuso incide sobre sessões já iniciadas
Porque é que isto importa em Portugal
Para cidadãos e PME portuguesas, o principal perigo do MedusaHVNC é o roubo silencioso de sessões de homebanking, correio eletrónico, redes sociais e serviços empresariais. Como o modelo MaaS baixa a barreira técnica, torna-se acessível a atacantes com pouca experiência, aumentando a probabilidade de campanhas oportunistas contra o mercado nacional. As organizações abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) devem enquadrar ameaças deste tipo nas suas obrigações de gestão de risco e de notificação de incidentes ao CNCS/CERT.PT.
Há ainda a dimensão de proteção de dados. Se um destes ataques resultar no acesso indevido a dados pessoais, pode configurar uma violação de dados com deveres de comunicação à CNPD e, quando aplicável, aos titulares, ao abrigo do RGPD. Manter cópias de segurança, aplicar autenticação forte e monitorizar tráfego de saída são medidas que, além de mitigarem o MedusaHVNC, reforçam a postura geral de conformidade e resiliência.
Perguntas frequentes
O que é o MedusaHVNC?
É um trojan de acesso remoto vendido como serviço que cria um ambiente de trabalho oculto no Windows e lança nele o navegador da vítima, aproveitando perfis, cookies e sessões já iniciadas para operar de forma invisível no ecrã.
Porque é tão difícil de detetar?
Porque abusa de funcionalidades legítimas do Windows, injeta código no binário de confiança charmap.exe e usa APIs comuns de captura de ecrã e entrada. A atividade decorre num ambiente de trabalho invisível, pelo que o utilizador não vê nada de anormal.
Que dados podem ser roubados?
Segundo os anúncios do vendedor, o malware extrai palavras-passe, cookies e histórico de navegadores como Chrome, Edge, Brave e Firefox, além do Telegram, e permite operar diretamente dentro de sessões já autenticadas da vítima.
Como me posso proteger?
Evite abrir ficheiros e ligações suspeitas, mantenha o sistema e o antivírus atualizados, ative autenticação multifator e, em contexto organizacional, monitorize tráfego de saída e processos-filho anómalos sob charmap.exe, bloqueando a infraestrutura de comando e controlo conhecida.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por BlackFog, SecurityWeek, Security Affairs e SOC Prime.