Les opérateurs de XWorm peuvent désormais s'appuyer sur 46 plugins capables de transformer les systèmes Windows infectés en dispositifs de surveillance en temps réel, selon les conclusions de Netskope rapportées par SecurityWeek. Le nombre de plugins est passé de 35 en juillet 2025 à 46 en octobre 2026.
Ces ajouts étendent un cheval de Troie d'accès à distance déjà très complet. Les fonctions de base de XWorm comprennent l'enregistrement des frappes au clavier, la prise de captures d'écran, l'accès aux webcams et l'exécution de charges utiles supplémentaires. Ensemble, ces fonctions peuvent donner à un opérateur un contrôle étendu sur un ordinateur compromis.
Netskope a également recensé plus de 1 200 incidents liés à XWorm touchant 100 organisations au cours du troisième trimestre. Ces chiffres décrivent des incidents de sécurité et des organisations touchées, et non un nombre de personnes uniques ou de victimes individuelles confirmées.
Les plugins exposent la localisation, l'audio et les sessions de navigateur authentifiées
Les fonctions de surveillance décrites par Netskope visent plusieurs sources d'informations sensibles :
- Plugin Maps : obtient la position GPS de l'appareil sans afficher d'invite à l'utilisateur.
- Plugin Microphone : diffuse en direct le son capté sur l'appareil compromis. Netskope indique que cela ne nécessite pas d'élévation de privilèges et qu'aucun avertissement n'est affiché à l'utilisateur.
- Plugin HBrowser : fournit une vue en temps réel du navigateur et transmet à celui-ci les saisies de l'opérateur.
- Capture par webcam : permet à l'opérateur de demander des images à la caméra.
HBrowser présente un risque particulier pour les comptes protégés par l'authentification multifacteur. Selon Netskope, le plugin prend le contrôle d'une session de navigateur déjà authentifiée, au lieu de voler et de rejouer les identifiants de l'utilisateur. L'opérateur reçoit une suite continue de captures d'écran, peut interagir avec le navigateur et accéder aux onglets authentifiés.
Dans ce scénario, l'authentification multifacteur a pu fonctionner correctement lors de la connexion, mais elle ne peut pas, à elle seule, empêcher un attaquant qui contrôle à distance un terminal de confiance déjà connecté. La capacité décrite relève donc d'une technique de détournement de session, et non d'une compromission directe du facteur d'authentification.
Les instructions de l'opérateur sont transmises sous forme de messages de commande et de contrôle via le canal standard de XWorm, que Netskope décrit comme chiffré en AES. Le système infecté exécute ensuite localement les actions demandées.
Des ressources de développement qui ont fuité ont abaissé les barrières autour de XWorm
Netskope indique que XWorm a été observé pour la première fois en 2022. L'accès à ses ressources de développement s'est ensuite élargi : une version craquée du builder du malware est apparue publiquement en juin 2025, suivie de la fuite du code source de la version 6.4 en août 2025.
Les chercheurs associent la hausse de l'activité de XWorm à ces publications. L'accès public à un builder et à un code source peut permettre à davantage d'opérateurs de créer des variantes ou de modifier les fonctionnalités, tout en rendant moins probable que l'activité associée au nom XWorm corresponde à une opération unique et contrôlée centralement.
Les priorités des défenseurs
Les organisations qui détectent XWorm doivent traiter l'hôte Windows concerné comme une compromission interactive, et non simplement comme un système ayant exécuté un fichier malveillant statique. Les fonctions décrites signifient qu'un opérateur a pu observer l'activité de l'utilisateur, contrôler des onglets de navigateur authentifiés, activer des capteurs ou lancer d'autres charges utiles.
La réponse à incident doit donner la priorité à l'isolement de l'appareil, à l'analyse des processus et de l'activité réseau liés à l'infection, ainsi qu'à la vérification des actions effectuées via les sessions de navigateur actives. Les sessions authentifiées exposées sur le système doivent être fermées, et les identifiants réinitialisés depuis un appareil de confiance lorsque cela est approprié.
Comme le récit de Netskope décrit le contrôle de sessions existantes, activer l'authentification multifacteur reste utile, mais ne constitue pas une réponse complète à un terminal infecté. Prévenir et détecter la compromission initiale, puis invalider les sessions après le confinement, sont essentiels pour limiter l'impact concret des capacités de surveillance élargies de XWorm.
