事件背景与威胁概况
近期，安全研究团队披露了一款名为 MedusaHVNC 的新型远程访问木马（RAT）。该木马采用“恶意软件即服务”（MaaS）模式，通过 Telegram 频道和专用网站进行商业化推广。与传统远控木马不同，MedusaHVNC 的核心威胁在于其能够利用 Windows 系统中鲜为人知的“隐藏桌面”功能，在用户不可见的虚拟桌面上运行浏览器，从而窃取受害者的登录会话、Cookie 及各类敏感信息。
从我们的应急响应经验来看，攻击者越来越倾向于利用系统原生的合法特性来隐藏恶意行为，这使得仅依赖传统的进程特征检测变得愈发困难。
攻击链分析：精密的“五步走”潜行
MedusaHVNC 的感染流程设计得极具欺骗性，旨在绕过各类安全防护：
- 初始投放：攻击者利用 Windows Script Host 执行混淆后的 JScript 脚本，并通过设置约 7.5 秒的延迟来规避沙箱的动态分析。
- 持久化与解密：脚本在 Temp 目录创建特定文件夹，释放 AutoIt 解释器、加密载荷及批处理文件，通过 Startup 文件夹实现自启动。
- 进程注入：AutoIt 负责解密载荷，并将其注入到 Windows 系统自带的 charmap.exe（字符映射表）中。这一环节是很多企业容易忽视的，攻击者通过将恶意代码隐藏在看似无害的系统内置工具中，极大地降低了被管理员发现的风险。
- 多重解密：注入后的载荷在内存中执行，通过 XOR、ChaCha20 等多层加密算法进行解密，最终释放出真正的 MedusaHVNC 核心模块。
- 建立通信：木马通过硬编码的 IP 地址（51.89.204.28）与攻击者服务器建立通信。
技术手法解析：隐形桌面的奥秘
MedusaHVNC 的核心价值在于其 HVNC（Hidden Virtual Network Computing）模块。它通过调用 Windows API 创建一个新的桌面会话，并在该会话中启动浏览器。
由于浏览器是在受害者的物理设备上运行，且使用的是用户当前的配置文件，攻击者可以直接获取到已登录的会话权限，绕过双因子认证（2FA）等安全屏障。在操作过程中，攻击者利用 BitBlt、EnumWindows 等原生 API 进行画面捕获，并通过 SendInput 实现模拟鼠标点击和键盘输入。这些 API 都是远程支持软件常用的工具，因此仅仅监控系统 API 调用几乎无法拦截此类攻击。
安全建议与 Solar 经验
类似攻击近年来明显增加，面对这种“利用合法功能行非法之事”的威胁，我们建议采取以下防御策略：
- 网络侧封堵：鉴于该木马的核心通信依赖于固定的 C2 服务器，企业应在防火墙或网关层面监控并拦截异常的出站连接，特别是针对已知恶意 IP 的通信。
- 行为监控：不能仅关注进程名称，而应关注进程的行为模式。例如，监控非浏览器进程频繁调用屏幕截图、剪贴板操作或异常的桌面会话切换。
- 强化端点防护：对于 AutoIt 等合法的自动化工具，在非必要环境下应限制其执行权限，或通过白名单机制严格管控其调用的路径。
- 审计系统配置：定期检查系统的自启动项、计划任务以及临时目录下的异常脚本文件。
从应急响应的角度出发，如果发现 charmap.exe 或其他系统进程出现异常的网络连接或内存行为，应立即将其隔离并进行取证分析。在当前的威胁环境下，构建深度防御体系，关注流量侧的异常行为，往往比单纯寻找病毒特征码更为有效。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com