MedusaHVNCマルウェア、隠しWindowsデスクトップで検知を回避

隠しデスクトップはWindowsの正規機能であり、専門ソフトウェアで利用されることが多いものの、マルウェアに悪用されるケースも見られます。

MedusaHVNCは、マルウェア・アズ・ア・サービス(MaaS)として販売されているリモートアクセス型トロイの木馬(RAT)です。専用サイトとTelegramチャンネルを通じて宣伝されており、BlackFogがこれを発見・分析したところ、隔離された隠しWindowsデスクトップ上で正規のブラウザを開くhidden virtual network computing(HVNC)モジュールが見つかりました。

隠しデスクトップ上で動作するため、その挙動はユーザーからは一切見えません。

このマルウェアは5段階の感染チェーンを使用します。まず正規のwscript.exeがJScriptランチャーを実行するところから始まります。スクリプトは7.5秒強待機した後、埋め込まれたファイル群を%TEMP%\Nx2981Okkr2\以下に展開します。

暗号化されたペイロードや、永続化のためにスタートアップフォルダに配置される.batファイルなど、複数のファイルがディスクに書き込まれます。

Windowsの標準ツールであるAutoITを使ってペイロードを復号し、charmap.exe(Windowsの文字コード表ユーティリティ)を起動します。charmap.exe内に入り込んだローダーには、さらに2層の暗号化が施されています。研究者らは「1つ目は.dataセクション内の1,009,152バイトに対して16バイトの繰り返しXOR演算を適用するもの。2つ目はChaCha20を用いて32バイトの鍵、12バイトのノンス、初期カウンター値1で998,912バイトの暗号文を復号するもの」と説明しています。

こうしてインストールされる最終ペイロードは「.payセクションとファミリー文字列MedusaHVNCを含む、署名のないPE32+のx86-64コンソール実行ファイル」です。ハードコードされたアドレス51.89.204.28:4444にある攻撃者のC2と通信します。

攻撃者は隠しデスクトップ内で、Chrome、Edge、Firefoxの中から任意のブラウザを起動できます。BitBlt、EnumWindows、PrintWindowといった正規のWindows機能が画面・ウィンドウのキャプチャを支援する一方、SendInputやSetWindowsHookExWは擬似的な入力操作やインタラクションに使われます。

研究者らは「OpenClipboard、GetClipboardData、SetClipboardDataといったクリップボード関連の機能も、セッションへの情報の出し入れに利用できるもう一つの手段になっている」とコメントしています。

隠しデスクトップを使うことで、攻撃者はユーザーに気づかれることなく正規のWindowsツールを存分に活用できます。C2のアドレスはマルウェアにハードコードされていますが、観測から比較的守られています。その結果として、ステルス性と持続性を兼ね備えたRATが生まれています。

唯一の明確な対策は、想定外のデータ流出の検知です。RATの動作が未知の隠しデスクトップ内で見えない状態であっても、データは最終的にネットワークから外部へ持ち出される必要があります。ネットワークから説明のつかないデータが流出していることを検知できれば、それは常にどこかに異常が起きている兆候だと言えます。