サイバーセキュリティ研究者らは、感染したシステム上で隠されたWindowsデスクトップを攻撃者が操作できるようにする、機能満載のマルウェア株Shadow hVNCを発見しました。
従来のリモートアクセスツールとは異なり、このマルウェアは別個のデスクトップセッションを作成します。犯罪者はこのセッション上でブラウザを起動したり、プログラムを実行したり、データを窃取したり、オンラインアカウントを操作したりできますが、その活動が被害者の画面に表示されることはありません。
Shadow hVNCは2026年3月にアンダーグラウンドフォーラムで、スティーラー兼隠れVNC(仮想ネットワークコンピューティング)ツールとして宣伝されていました。
分析対象となったバージョン5.5は16.4MBのGo言語ベースのペイロードで、リモート管理、認証情報の窃取、ブラウザセッションの乗っ取り、永続化、プロキシ機能、監視機能を備えています。
宣伝されていた機能の一部は不具合があることが判明したものの、隠れデスクトップ機能は依然として深刻なリスクとなっています。
このマルウェアは、WindowsのCreateDesktopW APIを使ってRemoteXHiddenという名前の第二のWin32デスクトップを作成します。その後、SetThreadDesktopを通じて専用のワーカースレッドをそのデスクトップに割り当てます。
攻撃者が起動するChrome、コマンドプロンプト、PowerShell、あるいは追加のマルウェアといったプログラムは、ユーザーに見えるWindowsデスクトップ上ではなく、この分離された環境内で実行されます。
この仕組みにより、攻撃者は被害者と並行して作業を行うことが可能になります。ユーザーが普段どおりコンピュータを使い続けている間に、攻撃者は隠れたセッション内でウェブサイトを開いたり、コマンドを実行したり、ファイルを閲覧したりできます。
Shadow hVNCは隠れデスクトップをキャプチャし、WebSocket接続を通じて攻撃者にストリーミングします。その際、帯域幅の使用を抑えるためにJPEGの差分更新(dirty-rectangle update)またはH.264動画圧縮を使用します。
このマルウェアはまた、攻撃者のマウスクリックとキー入力を受信し、それを隠れたウィンドウに注入します。これらの操作は別のデスクトップ上で発生するため、被害者にはブラウザウィンドウ、コマンドシェル、ログインページ、ファイル管理の様子が一切見えません。
Shadow hVNCには「バックステージモード」という機能があり、これはアカウント乗っ取りにおいて特に危険です。有効化すると、被害者の既存のブラウザプロファイルに対してブラウザを起動します。
これにより、犯罪者はパスワード入力や多要素認証(MFA)のチャレンジを回避できる可能性があります。 しかし、このバックステージモードは被害者に目に見える形で支障をきたすこともあります。
malbearlabsによると、このマルウェアはアクティブなブラウザプロファイルへの排他的アクセスを得るために被害者のChromeプロセスを強制終了させるため、Chromeが繰り返しクラッシュしたり、起動状態を維持できなくなったりする可能性があるとのことです。malbearlabsが述べています。
注: IPアドレスおよびドメインは、意図的に無害化表記([.]など)しています。これは誤ってアクセスやハイパーリンク化されることを防ぐためです。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に把握し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/shadow-hvnc-enables-invisible-desktops/
