MedusaHVNC: RAT vendido como serviço abre 'área de trabalho oculta' para sequestrar sessões autenticadas de navegador
O MedusaHVNC é um trojan de acesso remoto oferecido em modelo malware-as-a-service que abre uma área de trabalho oculta do Windows para operar o navegador da vítima sem que ela perceba, roubando cookies, senhas e sessões já autenticadas. Como a sessão sequestrada roda na própria máquina da vítima, com o IP e o fingerprint reais dela, o golpe é especialmente eficaz para burlar mecanismos antifraude baseados em risco de dispositivo.
Pesquisadores documentaram uma cadeia de infecção do MedusaHVNC em cinco etapas: um launcher JScript ofuscado dispara um interpretador AutoIt, que descriptografa uma carga inicial com XOR simples, injeta código em um processo legítimo do Windows (charmap.exe) e finalmente descriptografa com ChaCha20 o payload definitivo do RAT. É uma cadeia deliberadamente construída para se camuflar em processos e ferramentas nativas do sistema, dificultando a detecção por antivírus tradicionais baseados em assinatura.
O diferencial do malware está no módulo HVNC (hidden virtual desktop): usando apenas APIs legítimas do Windows — BitBlt e PrintWindow para capturar tela, SendInput e SetWindowsHookExW para simular interação, além de controle da área de transferência — o operador remoto abre o navegador da própria vítima em uma segunda área de trabalho, invisível na tela que a vítima está olhando. Esse navegador carrega o perfil real do usuário, com cookies e sessões já autenticadas em bancos, e-mail, exchanges de cripto ou qualquer outro serviço logado.
É exatamente esse detalhe que torna o HVNC particularmente perigoso do ponto de vista antifraude: como a navegação ocorre fisicamente no dispositivo da vítima, com o IP, o fingerprint do navegador e os cookies de sessão genuínos, motores de risco que sinalizam "novo dispositivo" ou "localização incomum" simplesmente não disparam. O criminoso está, na prática, operando a conta com a identidade digital legítima do usuário — o mesmo princípio explorado por trojans bancários clássicos de overlay, mas sem precisar recriar telas falsas.
Do ponto de vista de detecção e resposta, equipes de segurança devem monitorar criação de desktops ocultos e chamadas incomuns a APIs de captura/injeção de input, além de tratar com suspeita processos legítimos (como charmap.exe) que abrem conexões de rede não usuais. Para o usuário final, sinais indiretos incluem lentidão inexplicada, uso de CPU/GPU elevado sem programas abertos, ou funcionamento estranho do mouse; a prevenção de origem passa por evitar execução de scripts não assinados e manter EDR comportamental capaz de identificar a criação de superfícies de desktop ocultas, já que soluções baseadas apenas em MFA não impedem o abuso, pois a sessão já está autenticada quando o ataque ocorre.