MedusaHVNC、隠しWindowsデスクトップを悪用した検知回避手法を確認

MedusaHVNC、隠しWindowsデスクトップを悪用した検知回避手法を確認

MedusaHVNCは、2026年に確認されたリモートアクセス型トロイの木馬（RAT）で、隠しWindowsデスクトップを悪用してセキュリティ製品による検知を回避する新たな攻撃手法を採用している。このマルウェアは独自のWebサイトやTelegramチャンネルを通じて配布され、Windowsの正規機能を悪用することで、ユーザーに気付かれることなく動作する。

多段階感染による検知回避

MedusaHVNCは、多段階の感染チェーンを利用して検知を回避する。感染は正規プロセスである「wscript.exe」の実行から始まり、JScriptが起動される。その後、複数のファイルがWindowsの「%TEMP%」ディレクトリに生成され、AutoITがそれらを復号・実行する仕組みとなっている。さらに、「charmap.exe」を利用して追加の暗号化が施されたペイロードを復号する手法も確認されている。

最終的に展開されたペイロードはC2（コマンド・アンド・コントロール）サーバーと通信し、隠しWindowsデスクトップ上で複数のブラウザを実行する。これにより、攻撃者はユーザーの操作を必要とせず不正活動を継続できるほか、「BitBlt」や「EnumWindows」といったWindows APIを利用して画面キャプチャを取得することも可能となる。

セキュリティ担当者は、端末上で目立った異常が確認されない場合でも、ネットワーク上の不審な通信やデータ流出の兆候を継続的に監視することが重要となる。MedusaHVNCはユーザーから見えない環境で活動する一方、C2通信や異常なトラフィックは攻撃の兆候となる可能性があるため、ネットワークレベルでの監視と早期検知体制の強化が求められる。