Die Betreiber von XWorm können jetzt auf 46 Plugins zurückgreifen, mit denen sich infizierte Windows-Systeme in Live-Überwachungsgeräte verwandeln lassen, so die Erkenntnisse von Netskope laut SecurityWeek. Die Zahl der Plugins stieg von 35 im Juli 2025 auf 46 im Oktober 2026.
Die Neuerungen erweitern einen ohnehin leistungsfähigen Remote-Access-Trojaner. Zu den Grundfunktionen von XWorm gehören das Aufzeichnen von Tastatureingaben, das Anfertigen von Screenshots, der Zugriff auf Webcams und das Ausführen weiterer Payloads. Zusammen können diese Funktionen dem Betreiber umfassende Kontrolle über einen kompromittierten Computer verschaffen.
Netskope meldete außerdem mehr als 1.200 XWorm-bezogene Vorfälle bei 100 Organisationen im dritten Quartal. Diese Zahlen beschreiben Sicherheitsvorfälle und betroffene Organisationen, nicht die Anzahl eindeutiger Personen oder bestätigter einzelner Opfer.
Plugins legen Standort, Audio und authentifizierte Browsersitzungen offen
Die von Netskope beschriebenen Überwachungsfunktionen zielen auf mehrere Quellen sensibler Informationen ab:
- Maps-Plugin: Es ermittelt den GPS-Standort des Geräts, ohne dem Nutzer eine Abfrage anzuzeigen.
- Mikrofon-Plugin: Es streamt Live-Audio vom kompromittierten Gerät. Laut Netskope ist dafür keine Rechteerweiterung nötig, und der Nutzer erhält keinerlei Warnung.
- HBrowser-Plugin: Es bietet eine Echtzeitansicht des Browsers und leitet die Eingaben des Betreibers an ihn weiter.
- Webcam-Aufnahme: Sie ermöglicht es dem Betreiber, Bilder von der Kamera anzufordern.
Besonders riskant ist das HBrowser-Plugin für Konten, die durch Multi-Faktor-Authentifizierung (MFA) geschützt sind. Laut Netskope übernimmt das Plugin eine bereits authentifizierte Browsersitzung, anstatt die Zugangsdaten des Nutzers zu stehlen und wiederzuverwenden. Der Betreiber erhält eine fortlaufende Folge von Screenshots, kann mit dem Browser interagieren und auf authentifizierte Tabs zugreifen.
In diesem Szenario mag die MFA beim Anmelden korrekt funktioniert haben, kann aber allein nicht verhindern, dass ein Angreifer den vertrauenswürdigen, bereits angemeldeten Endpunkt aus der Ferne steuert. Die beschriebene Fähigkeit ist daher eine Technik zur Übernahme von Sitzungen und keine direkte Kompromittierung des Authentifizierungsfaktors.
Anweisungen des Betreibers werden als Command-and-Control-Nachrichten über den Standardkanal von XWorm übermittelt, den Netskope als AES-verschlüsselt beschreibt. Das infizierte System führt die angeforderten Aktionen anschließend lokal aus.
Geleakte Entwicklungsressourcen senkten die Hürden für XWorm
Netskope zufolge wurde XWorm erstmals 2022 beobachtet. Später wurde der Zugriff auf seine Entwicklungsressourcen breiter: Im Juni 2025 tauchte öffentlich eine geknackte Version des Malware-Builders auf, gefolgt im August 2025 vom Leak des Quellcodes für Version 6.4.
Die Forscher bringen die gestiegene XWorm-Aktivität mit diesen Veröffentlichungen in Verbindung. Öffentlich verfügbare Builder und Quellcode können mehr Akteuren ermöglichen, Varianten zu erstellen oder Funktionen zu verändern, während Aktivitäten unter dem Label XWorm seltener auf eine einzelne, zentral gesteuerte Operation hindeuten.
Worauf Verteidiger zuerst achten sollten
Organisationen, die XWorm entdecken, sollten den betroffenen Windows-Host als interaktive Kompromittierung behandeln und nicht nur als System, auf dem eine statische Schaddatei ausgeführt wurde. Die beschriebenen Funktionen bedeuten, dass ein Betreiber Nutzeraktivitäten beobachtet, authentifizierte Browser-Tabs kontrolliert, Sensoren aktiviert oder weitere Payloads gestartet haben könnte.
Bei der Reaktion auf den Vorfall sollte zuerst das Isolieren des Geräts Priorität haben, danach die Untersuchung der Prozesse und Netzwerkaktivitäten, die mit der Infektion zusammenhängen, sowie die Prüfung von Aktionen, die über aktive Browsersitzungen ausgeführt wurden. Auf dem System offengelegte authentifizierte Sitzungen sollten beendet werden, und Zugangsdaten sollten, wo sinnvoll, von einem vertrauenswürdigen Gerät aus zurückgesetzt werden.
Da Netskopes Darstellung die Übernahme bestehender Sitzungen beschreibt, bleibt die Aktivierung der MFA nützlich, ist aber keine vollständige Reaktion auf einen infizierten Endpunkt. Entscheidend, um die praktischen Auswirkungen der erweiterten Überwachungsfähigkeiten von XWorm zu begrenzen, sind die Verhinderung und Erkennung der initialen Kompromittierung sowie das Ungültigmachen von Sitzungen nach der Eindämmung.
