BlackFog beschreibt MedusaHVNC als Remote-Access-Trojaner, der über ein Malware-as-a-Service-Modell vertrieben wird. Im Zentrum der Analyse steht ein HVNC-Modul, das einen legitimen Browser auf einem separaten versteckten Windows-Desktop öffnet. Weil die Schadsoftware in dieser unsichtbaren Umgebung arbeitet, bleiben ihre Aktionen für den angemeldeten Nutzer unsichtbar.

Die Infektionskette umfasst laut BlackFog fünf Stufen. Den Anfang macht die legitime Windows-Komponente wscript.exe, die einen JScript-Starter ausführt. Das Skript wartet etwas mehr als 7,5 Sekunden und legt dann eingebettete Dateien unter %TEMP%\Nx2981Okkr2\ ab.

Dabei werden mehrere Dateien auf die Festplatte geschrieben, darunter eine verschlüsselte Nutzlast und eine .bat-Datei im Autostart-Ordner, die für Persistenz sorgen soll. Anschließend kommt Windows AutoIT zum Einsatz, um die Nutzlast zu entschlüsseln und charmap.exe zu starten, also die Windows-Zeichentabelle.

Der Loader in charmap.exe enthält laut den Forschern zwei weitere Verschlüsselungsebenen. „Die erste wendet eine sich wiederholende XOR-Operation mit 16 Byte auf 1.009.152 Byte aus dem Abschnitt .data an. Die zweite verwendet ChaCha20, um 998.912 Byte Chiffretext mit einem 32-Byte-Schlüssel, einer 12-Byte-Nonce und einem anfänglichen Zählerwert von 1 zu entschlüsseln“, schreiben die Forscher.

Die am Ende installierte Nutzlast sei „eine unsignierte PE32+-Konsolenanwendung für x86-64 mit einem Abschnitt .pay und dem Familienkennzeichen MedusaHVNC“. Für die Kommunikation mit dem Betreiber verwendet sie laut BlackFog eine fest im Schadcode hinterlegte C2-Adresse: 51.89.204.28:4444.

Auf dem versteckten Desktop kann der Angreifer nach Wahl einen Browser starten, darunter Chrome, Edge und Firefox. Für Bildschirm- und Fensteraufnahmen missbraucht die Malware legitime Windows-Funktionen wie BitBlt, EnumWindows und PrintWindow. Mit SendInput und SetWindowsHookExW werden synthetische Eingaben und Interaktionen umgesetzt.

Auch die Zwischenablage wird in die Steuerung einbezogen. „Zwischenablagefunktionen, darunter OpenClipboard, GetClipboardData und SetClipboardData, bieten einen weiteren Weg, Informationen in die Sitzung hinein oder aus ihr heraus zu bewegen“, so die Forscher.

BlackFog zufolge erlaubt der versteckte Desktop dem Angreifer, legitime Windows-Werkzeuge vollständig auszunutzen, ohne vom Benutzer beobachtet zu werden. Die C2-Infrastruktur ist zwar fest in der Malware hinterlegt, entzieht sich durch die Arbeitsweise auf dem unsichtbaren Desktop aber vergleichsweise leicht der Beobachtung. Das Ergebnis ist nach Einschätzung der Analysten ein unauffälliger und dauerhafter RAT.

Als naheliegende Gegenmaßnahme nennt der Bericht vor allem die Erkennung unerwarteter Datenabflüsse. Auch wenn die RAT-Aktivitäten auf dem unbekannten und versteckten Desktop nicht sichtbar seien, müssten die Daten das Netzwerk am Ende dennoch verlassen.