C
月内に
MedusaHVNCは、Windowsの「隠しデスクトップ」機能を利用してユーザーに気づかれずに操作を行うリモートアクセストロイジャン（RAT）です
📌 一言でいうと
MedusaHVNCは、Windowsの「隠しデスクトップ」機能を利用してユーザーに気づかれずに操作を行うリモートアクセストロイジャン（RAT）です。MaaSとして販売されており、JScriptランチャーから始まり、AutoITによる復号化を経て、最終的にcharmap.exeなどの正規プロセスにコードを注入します。この手法により、ブラウザなどの操作がユーザーの視覚的なデスクトップから完全に隠蔽されます。
🔍該当判定
- Windows PCで、心当たりのない不審なメールの添付ファイル（.jsファイルや.vbsファイルなど）を開いた
- PCの起動時に、身に覚えのないプログラムが自動的に実行される設定になっている
- 社内で「AutoIT」という自動化ツールを業務外の用途でインストールして利用している
- Windowsの標準機能である「文字コード表 (charmap.exe)」が、操作していないのに勝手に起動している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
不審なスクリプト（.js, .vbs）の実行を制限し、%TEMP%フォルダ内での不審な実行ファイルの作成を監視してください。また、AutoITなどのスクリプト言語の不適切な利用を検知するEDR設定を推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】MedusaHVNCによる隠しデスクトップを利用した検知回避について
お疲れさまです。新種のRAT「MedusaHVNC」に関する情報共有です。
■ 概要
MedusaHVNCは、Windowsの隠しデスクトップ機能を利用して、ユーザーに気づかれずにバックグラウンドでブラウザ操作等を行うRATです。JScriptランチャーから始まり、AutoITを用いてペイロードを復号し、charmap.exe等の正規プロセスに注入する多段階の感染チェーンを持ちます。
■ 影響範囲
- Windows OSを利用する全環境
■ 対応手順
1. %TEMP% ディレクトリにおける不審なディレクトリ（例: Nx2981Okkr2）およびファイルの作成を監視してください。
2. AutoITによる不審なプロセスの起動や、charmap.exe へのコード注入などの挙動をEDRで検知・ブロックする設定を確認してください。
3. wscript.exe による不審なJScriptの実行を制限してください。
■ 参考情報
- BlackFog 分析レポート
対応優先度: 中
対応期限: 随時
お疲れさまです。新種のRAT「MedusaHVNC」に関する情報共有です。
■ 概要
MedusaHVNCは、Windowsの隠しデスクトップ機能を利用して、ユーザーに気づかれずにバックグラウンドでブラウザ操作等を行うRATです。JScriptランチャーから始まり、AutoITを用いてペイロードを復号し、charmap.exe等の正規プロセスに注入する多段階の感染チェーンを持ちます。
■ 影響範囲
- Windows OSを利用する全環境
■ 対応手順
1. %TEMP% ディレクトリにおける不審なディレクトリ（例: Nx2981Okkr2）およびファイルの作成を監視してください。
2. AutoITによる不審なプロセスの起動や、charmap.exe へのコード注入などの挙動をEDRで検知・ブロックする設定を確認してください。
3. wscript.exe による不審なJScriptの実行を制限してください。
■ 参考情報
- BlackFog 分析レポート
対応優先度: 中
対応期限: 随時
Subject: [Intel] MedusaHVNC RAT utilizing Hidden Windows Desktops
Dear team,
We are sharing intelligence regarding the MedusaHVNC Remote Access Trojan (RAT).
■ Overview
MedusaHVNC is a MaaS RAT that leverages hidden Windows desktops to perform invisible operations (e.g., browsing) to evade user detection. It uses a 5-stage infection chain involving JScript launchers, AutoIT decryption, and process injection into legitimate utilities like charmap.exe.
■ Scope
- All Windows-based environments
■ Recommended Actions
1. Monitor for suspicious directory creation in %TEMP% (e.g., Nx2981Okkr2).
2. Configure EDR to detect and block suspicious AutoIT activity and code injection into charmap.exe.
3. Restrict the execution of untrusted JScript files via wscript.exe.
■ Reference
- BlackFog Analysis
Priority: Medium
Deadline: Ongoing
Dear team,
We are sharing intelligence regarding the MedusaHVNC Remote Access Trojan (RAT).
■ Overview
MedusaHVNC is a MaaS RAT that leverages hidden Windows desktops to perform invisible operations (e.g., browsing) to evade user detection. It uses a 5-stage infection chain involving JScript launchers, AutoIT decryption, and process injection into legitimate utilities like charmap.exe.
■ Scope
- All Windows-based environments
■ Recommended Actions
1. Monitor for suspicious directory creation in %TEMP% (e.g., Nx2981Okkr2).
2. Configure EDR to detect and block suspicious AutoIT activity and code injection into charmap.exe.
3. Restrict the execution of untrusted JScript files via wscript.exe.
■ Reference
- BlackFog Analysis
Priority: Medium
Deadline: Ongoing