Зловредният софтуер XWorm надхвърля рамките на обикновената кражба на пароли, предоставяйки на атакуващите инструменти за подслушване през компрометирани компютри, проследяване на тяхното местоположение и контрол над браузъри, в които потребителите вече са влезли в профилите си.
Неговата нарастваща колекция от плъгини превръща компрометираното устройство с Windows както в инструмент за шпионаж, така и в маршрут за достъп до онлайн акаунти, без да изисква от атакуващите предварително да крадат пароли.
Функцията за контрол на браузъра е особено тревожна, тъй като използва сесии, които вече са преминали проверките за вход. Вместо да се вписва от друг компютър, атакуващият управлява директно браузъра на жертвата.
Това може да позволи достъп до удостоверени профили без ново изискване за многофакторна автентикация (MFA), макар това да не означава, че XWorm може да преодолее всяка възможна проверка за сигурност.
Изследователи от Netskope Threat Labs са идентифицирали четири версии на XWorm, действащи в реална среда от техния доклад през юли 2025 г. насам.
В последния си изследователски доклад за XWorm те регистрират 1236 събития на засичане в повече от 100 клиентски организации през третото тримесечие на 2026 г., което представлява четирикратен ръст спрямо обема, отчетен през третото тримесечие на 2025 г.
Тези данни описват открити инциденти, а не потвърден брой уникални заразени устройства. Финансовите услуги представляват приблизително 35% от засегнатите клиенти, като активността е концентрирана в Индия, Бразилия, Италия, Панама и Съединените щати.
Констатациите разширяват по-ранни доклади за разпространението на XWorm чрез скриптове за Windows, които показаха как скриптове и PowerShell помагат за инсталирането на зловредния софтуер, като същевременно скриват изпълнението му в легитимни процеси на Windows.
Зловредният софтуер XWorm може да шпионира
Плъгинът HBrowser, наличен от версия 6 насам, предоставя на операторите интерактивен изглед към работещия браузър на жертвата. Атакуващият избира поддържан браузър от контролния панел, което изпраща команда OpenBrowser през канала за командване и контрол на XWorm.
След това компрометираният компютър приема отдалечени входни данни и изпраща обратно екранни снимки към оператора. Кликвания с мишката, движения на курсора, превъртане, въвеждане от клавиатурата и поставен текст преминават през същия AES-криптиран канал.
Това създава работеща сесия с отдалечен браузър, вместо просто събиране на откраднати браузърни файлове. Удостоверените раздели стават достъпни, което позволява на атакуващите да използват профилите, докато съществуващият вход на жертвата остава активен.
Разликата е от съществено значение: това не е доказателство, че XWorm компрометира самата многофакторна автентикация. Той избягва ново влизане, като оперира в рамките на вече удостоверена сесия.
Свързани доклади за похищението на браузърни сесии чрез GhostProfile описват друг подход за достъп до активни профили, но GhostProfile копира потребителските профили на браузъра в macOS, докато Netskope описва как XWorm поема контрол над работещ браузър в Windows.
Плъгинът Microphone на XWorm използва функцията WaveInEvent на библиотеката NAudio, за да прихваща звук от записващо устройство, избрано от атакуващия.
Първоначално той извежда списък с наличните устройства чрез командата MICCM, след което записва 8 kHz, 16-битово моно аудио в буфери от 500 милисекунди. Всеки буфер се компресира, кодира, криптира и стриймва обратно през контролния канал.
Netskope съобщава за приблизително половин секунда латентност на звука, като записът продължава, докато операторът поддържа сесията отворена. Командите с имена CLOSEMIC и ENDMIC спират прихващането или прекратяват сесията.
Заснемането от уеб камера също е налично при поискване, разширявайки риска отвъд откраднатите файлове до разговори и активност около компрометираното устройство.
Плъгинът Maps променя стойност в системния регистър на Windows за съгласие за споделяне на местоположение на Allow преди да изиска координати. Netskope наблюдава това действие без ескалация на привилегии или видим подканващ прозорец за разрешение.
Той извиква GeoCoordinateWatcher.TryStart с тайм-аут от 15 секунди и се връща към определяне на местоположението по IP адрес, когато GPS липсва. Местоположението, определено по IP, не бива да се бърка с точни GPS координати.
Изтекли инструменти за компилиране стимулират непрекъснатото развитие
Потвърденият брой плъгини нарасна от 35 на 46 след доклада на Netskope от юли 2025 г. Изследователите проследиха V6.4, V6.5 „XWorm Reborn“, V7.2 и V7.4, като добавките включват Rootkit, SteamTokenRecovery, HRDP, Cmstp-Bypass и ResetSurvival.
Този растеж стъпва на техниките на XWorm за избягване на защита, докладвани по-рано заедно с променящи се зареждащи модули (loaders), формати на скриптове и опити за отслабване на наблюдението в Windows.
Кракерска версия на софтуера за компилиране (builder) се появи публично през юни 2025 г., последвана от модифициран изходен код на V6.4 през август. Netskope свързва тези публични появи с по-високи обеми на засичане, които се запазиха над предходните нива през 2026 г.
V7.2 добави прикриване на машинен код (native code) и шест проверки за наличие на виртуална машина, докато V7.4 използва дропер XBinder, премахване на куки (unhooking) в NTdll и контролна инфраструктура, базирана на LocaltoNet.
За екипите по защита докладът подчертава необходимостта от разследване на компрометирането на устройства успоредно със злоупотребата с акаунти. По-ранни кампании на XWorm с фалшиви фактури показват как обикновени бизнес документи могат да доведат до заразяване.
Достъпът до браузъра, прихващането на звук от микрофона, промените в системния регистър и трафикът от дистанционното управление трябва да се анализират съвместно, вместо да се разглеждат като несвързани събития. Валидната сесия в даден акаунт не доказва, че лицето, което я използва, е легитимният потребител.
Индикатори за компрометиране (IoCs):-
| Тип | Индикатор или артефакт, посочен в източника | Контекст |
|---|---|---|
| SHA-256 / SHA-1 / MD5 | Не е предоставен в предоставения доклад | Нито един хеш от кампанията не можа да бъде потвърден от свързаното хранилище. |
| Домейн за брандиране | celestialproject[.]org | Метаданни за PE на V6.4; не е идентифициран като C2 домейн. |
| Домейн за брандиране | c3lestial[.]fun | Брандиране на V6.5; не е идентифициран като C2 домейн. |
| Артефакт в системния регистър | HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\Value | Maps записва низа Allow за промяна на съгласието за местоположение. |
| URL адрес за справка за местоположение | hxxp://ip-api[.]com/csv/?fields=lat,lon | Легитимна услуга, използвана като резервен вариант за геолокация по IP; не е зловредна C2 крайна точка. |
| Артефакт за файл/път | %AppData% and NTdll.dll | Свързан с NTdll unhooking във V7.4; не е предоставен пълен файлов път. |
| Препратка към услуга | LocaltoNet | Услуга за C2 тунелиране във V7.4; не е предоставена конкретна крайна точка. |
| Команда за браузър | OpenBrowser<SPL>chrome<SPL><width><SPL><height> | Отваря контрол над браузъра. |
| Команда за клавиатура | keyboardClick<SPL><base64(char)> | Предава въведеното от клавиатурата. |
| Команди за мишка | LeftDown<SPL><x><SPL><y>, LeftUp<SPL><x><SPL><y>, MoveCursor<SPL><x><SPL><y> | Предава действия с мишката. |
| Команди за превъртане | ScrollDown, ScrollUp | Управлява превъртането в браузъра. |
| Команда за клипборд | paste<SPL><base64(clipboard_text)> | Изпраща текст за поставяне. |
| Команда за затваряне на браузър | CloseHBrowser<SPL><width><SPL><height> | Затваря контрола над браузъра. |
| Съобщение за местоположение | GMapsapi<SPL><IDD><SPL><lat>,<lon> | Връща координати за местоположение. |
| Команда за микрофон | MICCM | Извежда списък с наличните записващи устройства. |
| Аудио съобщение | MICGET<SPL><base64(gzip(PCM))><SPL><bytesRecorded><SPL><hwid> | Пренася прихванато аудио. |
| Управление на микрофона | CLOSEMIC, ENDMIC | Спира записа или прекратява сесията. |
| Имена на откриване | Gen:Variant.Application.Lazy, Trojan.Generic | Етикети за откриване, посочени от Netskope. |
Забележка: IP адресите и домейните са умишлено деактивирани (defanged, напр. [.]), за да се предотврати случайно резолвване или хипервръзки. Активирайте ги отново само в контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашия SIEM.