Shadow hVNC es una herramienta de acceso remoto diseñada para operar donde tú, como víctima, no puedes verla.

En lugar de tomar el control del escritorio visible, puede crear un espacio de trabajo de Windows independiente y dar a los criminales una vista en vivo de la actividad en su interior.

El malware roba cookies del navegador, contraseñas guardadas, datos financieros y tokens de sesión, y luego los utiliza para acceder a cuentas que ya están iniciadas en el ordenador comprometido.

Esto crea un riesgo grave para la banca, los servicios en la nube y las aplicaciones corporativas.

Analistas de Malbear Labs identificaron la versión más reciente de Shadow hVNC como una carga útil basada en Go de 16,4 MB con un espacio para el servidor de comandos codificado y rutas de código legibles.

Malbear Labs indicó en un informe  que una cuenta con el nombre RemoteX publicitó el robador en un foro criminal en marzo de 2026. El ecosistema de la campaña se ha expandido más allá del implante principal.

Los investigadores vincularon un cargador relacionado con el malspam mediante avisos de derechos de autor falsos dirigidos a administradores de páginas comerciales. Un solo clic puede convertir un documento o una notificación de apelación en un punto de entrada para el robo silencioso de tu cuenta.

Shadow hVNC otorga a los atacantes el control del escritorio remoto

Shadow hVNC crea un segundo escritorio de Windows llamado RemoteXHidden y le adjunta un proceso de trabajo.

Un operador puede lanzar un navegador, una shell de comandos, PowerShell u otro programa en esa área oculta mientras tú sigues viendo tu escritorio.

El malware transmite fotogramas de la pantalla y acepta clics de ratón y pulsaciones de teclas remotas.

Su nuevo modo "Backstage" puede abrir un navegador utilizando tu perfil real, lo que permite al operador usar cookies en vivo e inicios de sesión activos.

Es por eso que los riesgos de los ataques VNC ocultos son más que una preocupación de privacidad: una sesión válida puede eliminar la necesidad de conocer tu contraseña.

Si la creación del escritorio oculto falla, Shadow hVNC recurre a un método más ruidoso. Puede congelar la entrada del teclado y el ratón y apagar el monitor físico mientras el atacante trabaja en tu sesión real.

Tu ordenador puede parecer que está en modo suspensión, aunque la actividad continúe en segundo plano. El análisis también descubrió que el implante puede terminar repetidamente tu proceso de Chrome para poder apropiarse del perfil real del navegador.

Los cierres repentinos del navegador junto con una actividad desconocida en segundo plano deben tratarse como una señal de advertencia, no como un fallo rutinario del software.

Robo de cookies y acceso persistente

La herramienta recopila cookies, contraseñas, detalles de autocompletado, datos del perfil del navegador, carteras de criptomonedas, sesiones de chat, configuración de VPN, credenciales de la nube y archivos de códigos de recuperación.

Puede inyectar cookies robadas en una sesión de navegador oculta, permitiendo la reutilización de la cuenta sin solicitar una contraseña o un segundo factor. Informes recientes sobre el abuso de cookies robadas muestran por qué las sesiones activas del navegador siguen siendo objetivos para los criminales.

Shadow hVNC también incluye una utilidad integrada llamada lss.exe que puede capturar la memoria del proceso de la Autoridad de Seguridad Local de Windows cuando tiene derechos de administrador.

Los datos resultantes pueden contener credenciales útiles para moverse más profundamente en una organización, un riesgo también ilustrado por las técnicas de robo de credenciales almacenadas en caché.

La persistencia es una preocupación mayor. El malware puede copiarse en carpetas locales de datos de aplicaciones, registrar un servicio disfrazado como "mouse driver service", crear entradas de Ejecución (Run) y tareas programadas, y desplegar un vigilante llamado WmiPrvSE.exe para restaurar la carga útil después de que sea detenida.

También intenta añadir exclusiones de herramientas de seguridad cuando tiene privilegios elevados. Quienes defienden el sistema deben buscar escritorios ocultos inusuales, copias de bases de datos del navegador que terminen en .rxcopy y carpetas de preparación de perfiles bajo la ruta RemoteX.

Tú y tu equipo también deberían investigar tareas programadas inesperadas, nuevos valores de Run, cambios en las exclusiones de seguridad y procesos que cierren navegadores que tú no hayas iniciado.

Las organizaciones deben aislar los dispositivos sospechosos, preservar los registros relevantes, restablecer las sesiones y credenciales expuestas desde un sistema y revisar el acceso de los administradores.

Las cookies del navegador pueden saltarse la comodidad de las solicitudes de multifactor, por lo que los equipos de respuesta deben revocar las sesiones, no simplemente cambiar las contraseñas. La guía sobre la prevención de la toma de control de cookies de sesión explica por qué esa distinción es importante.