XWorm devine un set complet de spionaj: preia browserul logat, microfonul și locația

XWorm, un troian de acces la distanță (RAT) pentru Windows, vândut și scurs public de ani de zile, nu mai este în principal un hoț de parole. Cea mai recentă analiză Netskope Threat Labs arată că pluginurile lui le permit acum atacatorilor să controleze browserul victimei, deja autentificat, să înregistreze sunetul din microfon, să facă capturi cu camera web și să afle locația dispozitivului. Astfel, un singur PC infectat devine atât unealtă de spionaj, cât și o cale de acces în conturile online ale utilizatorului.

Ce s-a întâmplat

De la raportul lor din iulie 2025, cercetătorii Netskope au urmărit încă patru versiuni XWorm active: v6.4, v6.5 („XWorm Reborn"), v7.2 și v7.4. Numărul de pluginuri confirmate a crescut de la 35 la 46.

Și detecțiile sunt în creștere. Netskope a înregistrat 1.236 de evenimente de detecție la peste 100 de organizații clienți în T3 2026, de aproximativ patru ori mai multe decât în T3 2025. Sunt evenimente de detecție, nu un număr confirmat de calculatoare infectate. Serviciile financiare reprezintă circa 35% dintre clienții afectați, iar activitatea s-a concentrat în India, Brazilia, Italia, Panama și Statele Unite.

Cercetătorii pun creșterea pe seama scurgerilor. Un builder „spart" a apărut public în iunie 2025, iar în august a urmat codul sursă modificat al versiunii v6.4. De atunci, volumul detecțiilor a rămas peste nivelurile anterioare.

Capabilitățile care contează

• HBrowser: control de la distanță al unui browser activ (din v6). Atacatorul alege un browser din panoul de control și trimite comanda OpenBrowser. Calculatorul infectat trimite înapoi capturi de ecran și primește clicuri, tastare, derulare și text de lipit, totul prin canalul C2 criptat AES. Atacatorul lucrează în interiorul sesiunilor deja autentificate de victimă, deci nu trebuie să se logheze de pe alt dispozitiv.
• Captură din microfon. Pluginul listează dispozitivele de înregistrare (MICCM), apoi transmite audio mono la 8 kHz, 16 biți, în fragmente de 500 ms. Fiecare fragment este comprimat și criptat, iar întârzierea este de circa o jumătate de secundă. CLOSEMIC / ENDMIC opresc înregistrarea.
• Camera web, la cerere. Asta pune în pericol conversațiile și ce se întâmplă în jurul dispozitivului, nu doar fișierele.
• Localizare. Pluginul Maps schimbă în registrul Windows valoarea de consimțământ pentru locație în Allow, apoi cere coordonatele. Netskope a observat acest lucru fără escaladare de privilegii și fără vreo fereastră de permisiune vizibilă. Când GPS-ul nu e disponibil, revine la geolocalizarea după IP, mult mai puțin precisă.
• Evaziunea se rafinează. v7.2 a adăugat ascunderea codului nativ și șase verificări anti-mașină-virtuală. v7.4 folosește un dropper XBinder, „unhooking" pentru NTdll și tunelare C2 prin LocaltoNet. Printre pluginurile noi se numără Rootkit, SteamTokenRecovery, HRDP, Cmstp-Bypass și ResetSurvival.

De ce contează

Deturnarea sesiunii face inutil furtul parolelor. Când atacatorul folosește chiar browserul victimei, contul vede dispozitivul real, IP-ul real și cookie-ul de sesiune al utilizatorului. Astfel poate intra în conturi fără să declanșeze o nouă verificare MFA.

Ca să fim exacți: nu există dovezi că XWorm sparge MFA. Malware-ul evită o autentificare nouă folosind o sesiune deja deschisă. Controalele care reverifică utilizatorul înainte de acțiuni sensibile rămân eficiente.

O simplă resetare a parolei nu scoate afară un atacator care controlează dispozitivul. Dacă un cont este folosit abuziv, tratați situația mai întâi ca pe o compromitere a dispozitivului. Serviciile financiare reprezintă aproximativ o treime din clienții afectați, așa că echipele antifraudă și SOC ar trebui să analizeze semnalele de pe dispozitiv împreună cu activitatea din conturi.

Ce e de făcut

1. Investigați dispozitivul, nu doar contul. Când apare activitate suspectă într-o sesiune, izolați și analizați stația înainte să resetați parolele. Altfel, atacatorul își păstrează accesul.
2. Căutați comportamentele. Urmăriți scrierile în HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\Value făcute de procese neașteptate. Verificați și procesele care accesează dispozitive de captură audio fără motiv, precum și traficul către servicii de tunelare precum LocaltoNet.
3. Cereți autentificare suplimentară pentru acțiuni sensibile. Plățile, schimbarea beneficiarilor, modificările MFA sau ale opțiunilor de recuperare și exporturile de date ar trebui să ceară o verificare nouă, rezistentă la phishing (FIDO2/passkeys), nu doar o sesiune validă.
4. Scurtați și legați sesiunile. Folosiți durate scurte de sesiune pentru aplicațiile critice, cereți reautentificare la semnale de risc și legați tokenurile de dispozitiv acolo unde furnizorul de identitate permite.
5. Gestionați central permisiunile de confidențialitate. Controlați accesul la microfon, cameră și locație prin Group Policy sau Intune, în loc să-l lăsați la alegerea fiecărui utilizator, și setați alerte pentru modificarea acestor setări.
6. Blocați lanțul de livrare. XWorm ajunge de obicei prin scripturi și PowerShell, adesea deghizat în chitanțe sau facturi. Restricționați interpretoarele de scripturi, activați jurnalizarea PowerShell și AMSI și aplicați reguli ASR împotriva scripturilor ofuscate și a execuției din Office sau din arhive.
7. Urmăriți denumirile de detecție Gen:Variant.Application.Lazy și Trojan.Generic în telemetria EDR/AV. Sunt etichete generice, așa că folosiți-le ca punct de plecare, nu ca dovadă.

Netskope nu a publicat hash-uri ale fișierelor din campanie. Domeniile de branding din metadatele v6.4/v6.5 (celestialproject[.]org, c3lestial[.]fun) nu au fost identificate ca servere C2, iar ip-api[.]com, folosit de malware pentru localizare, este un serviciu legitim. Nu le blocați ca infrastructură malițioasă. Căutați după comportament.

Nu sunteți siguri că stațiile de lucru și controalele de identitate ar detecta o deturnare de sesiune? 4Tify vă poate evalua expunerea și vă poate ajuta să închideți breșele.

Sursa: acest articol are la bază un material publicat de Cyber Security News despre cercetarea Netskope Threat Labs.