Sicherheitsexperten des IT-Unternehmens BlackFog haben eine neue Bedrohung im Bereich der Cyberkriminalität analysiert: Die als MedusaHVNC bezeichnete Schadsoftware wird als sogenannte Malware-as-a-Service (MaaS) vertrieben. Das Programm ist darauf spezialisiert, aktive Browser-Sitzungen auf Windows-Systemen zu übernehmen, indem es einen versteckten Desktop nutzt. Angreifer können so in Echtzeit auf Web-Inhalte zugreifen, ohne dass die betroffenen Nutzer dies bemerken.
Mehrstufige Infektionskette und technischer Aufbau
Die Analyse der Infektionswege von MedusaHVNC offenbart ein komplexes, mehrstufiges Verfahren. Den Untersuchungen zufolge beginnt der Angriff mit einem verschleierten (obfuscated) JScript-Code. Dieser dient als Türöffner, um das Automatisierungswerkzeug AutoIt auf das Zielsystem zu laden. In einem weiteren Schritt erfolgt eine Code-Injection in die legitime Windows-Systemdatei charmap.exe.
Dieser Prozess mündet schließlich in der Ausführung der finalen Payload. Dabei handelt es sich um ein unsigniertes 64-Bit-Programm im PE32+-Format. Eine Besonderheit der Software ist, dass die Adresse des zuständigen Befehls- und Kontrollservers (C2-Server) direkt im Programmcode hartcodiert ist. Als zentrale Infrastruktur für die Steuerung der infizierten Systeme wurde die IP-Adresse 51.89.204.28 über den Port 4444 identifiziert.
Angriff auf gängige Webbrowser über versteckte Desktops
Die Malware zielt primär auf die am weitesten verbreiteten Internetbrowser ab. Nach Angaben der Sicherheitsforscher sind Nutzer von Google Chrome, Microsoft Edge und Mozilla Firefox gefährdet. Durch die HVNC-Technologie (Hidden Virtual Network Computing) ist die Malware in der Lage, eine parallele Desktop-Sitzung zu erstellen, die für den rechtmäßigen Benutzer am Bildschirm unsichtbar bleibt.
Angriffe wie MedusaHVNC zeigen, wie gezielt Hacker heute psychologische und technische Schwachstellen in Unternehmen ausnutzen. Erfahren Sie in diesem kostenlosen Paket, mit welchen Taktiken Cyberkriminelle arbeiten und wie Sie Ihre Abwehr stärken. Anti-Phishing-Paket für Unternehmen jetzt gratis anfordern
Innerhalb dieser versteckten Umgebung können die Hintermänner die Kontrolle über die laufenden Browser-Sitzungen übernehmen. Dies ermöglicht es ihnen, Transaktionen durchzuführen oder sensible Daten abzugreifen, während der Nutzer parallel weiterarbeitet. Da die Sitzung aus Sicht der Webanwendung von einem bereits authentifizierten System und Browser stammt, greifen herkömmliche Sicherheitsmechanismen wie die Zwei-Faktor-Authentisierung in diesem Moment oft nicht mehr, da die Sitzung bereits besteht.
Kommerzialisierung und Sicherheitsindikatoren
Die Verbreitung von MedusaHVNC folgt einem kommerziellen Modell. Die Entwickler bieten die Schadsoftware über eine eigene Website sowie über den Messenger-Dienst Telegram zum Verkauf an. Dies ermöglicht es auch weniger technisch versierten Akteuren, komplexe Angriffe gegen Windows-Infrastrukturen durchzuführen.
Um Infektionen frühzeitig zu erkennen, wurden verschiedene Indikatoren (Indicators of Compromise, IoC) veröffentlicht. Administratoren sollten ihre Systeme auf folgende Merkmale prüfen:
- Verzeichnisse und Dateien: In den temporären Nutzerverzeichnissen wurde der Pfad
%TEMP%\Nx2981Okkr2\beobachtet. Zudem treten Dateien mit den BezeichnungenAFLlvOscPj.bat,zorsxklxfehdoalssowie die Konfigurationsdateiwvwxrhlfxquucjpewcitbkp.cfgauf. - Prozessanomalien: Verdächtige Aktivitäten im Zusammenhang mit der Datei
charmap.exekönnen auf die beschriebene Injection-Methode hindeuten. - Payload-Identifikation: Die finale 64-Bit-Payload kann über den SHA-256-Hashwert
e261888f0807b9b372b54aa45487cb5786a939fa3e87094ff270b6b8db5fdfb6eindeutig identifiziert werden.
Angesichts der zunehmenden Professionalisierung der Cyberkriminalität müssen Betriebe ihre IT-Sicherheit proaktiv und kosteneffizient anpassen. Dieser Report unterstützt Sie dabei, aktuelle Bedrohungen frühzeitig zu erkennen und Ihr Unternehmen langfristig abzusichern. Gratis-E-Book: Cyber-Security-Trends für Unternehmen sichern
Angesichts der professionellen Vertriebswege und der spezialisierten Technik zur Umgehung von Sichtkontrollen raten Experten zur verstärkten Überwachung von Endpunkten und zur Sensibilisierung von Mitarbeitern gegenüber unbekannten Skriptausführungen.
