Secondo i risultati di Netskope, segnalati da SecurityWeek, gli operatori di XWorm possono ora contare su 46 plugin in grado di trasformare i sistemi Windows infetti in dispositivi di sorveglianza in tempo reale. Il numero di plugin è passato da 35 nel luglio 2025 a 46 nell'ottobre 2026.
Le aggiunte estendono un remote access trojan già molto capace. Le funzioni di base di XWorm includono la registrazione dei tasti premuti, la cattura di screenshot, l'accesso alla webcam e l'esecuzione di payload aggiuntivi. Nel complesso, queste funzionalità possono dare all'operatore un controllo ampio sul computer compromesso.
Netskope ha inoltre segnalato oltre 1.200 incidenti legati a XWorm in 100 organizzazioni nel corso del terzo trimestre. Questi dati si riferiscono a incidenti di sicurezza e organizzazioni coinvolte, non al numero di persone uniche o di vittime individuali confermate.
I plugin espongono posizione, audio e sessioni di browser autenticate
Le funzioni di sorveglianza descritte da Netskope colpiscono diverse fonti di informazioni sensibili:
- Maps plugin: ottiene la posizione GPS del dispositivo senza mostrare alcuna richiesta all'utente.
- Microphone plugin: trasmette l'audio in diretta dal dispositivo compromesso. Secondo Netskope, non richiede un'escalation dei privilegi e non genera alcun avviso per l'utente.
- HBrowser plugin: offre una visualizzazione in tempo reale del browser e inoltra al browser gli input dell'operatore.
- Acquisizione dalla webcam: consente all'operatore di richiedere immagini dalla fotocamera.
HBrowser rappresenta un rischio particolare per gli account protetti dall'autenticazione a più fattori (MFA). Secondo Netskope, il plugin prende il controllo di una sessione del browser già autenticata, invece di rubare e riutilizzare le credenziali dell'utente. L'operatore riceve una sequenza continua di screenshot, può interagire con il browser e può accedere alle schede autenticate.
In questo scenario, l'MFA può aver funzionato correttamente durante l'accesso, ma da sola non può impedire a un attaccante che controlla da remoto un endpoint attendibile e già connesso di agire. La capacità segnalata è quindi una tecnica di session hijacking, non una compromissione diretta del fattore di autenticazione.
Le istruzioni dell'operatore arrivano come messaggi di command-and-control attraverso il canale standard di XWorm, che Netskope descrive come cifrato con AES. Il sistema infetto esegue poi localmente le azioni richieste.
Le risorse di sviluppo trapelate hanno abbassato le barriere attorno a XWorm
Netskope afferma che XWorm è stato osservato per la prima volta nel 2022. In seguito, l'accesso alle risorse di sviluppo si è ampliato: a giugno 2025 è comparsa pubblicamente una copia craccata del builder del malware, seguita ad agosto 2025 dalla fuga del codice sorgente della versione 6.4.
I ricercatori collegano l'aumento dell'attività di XWorm a questi rilasci. L'accesso pubblico a un builder e al codice sorgente può consentire a più operatori di creare varianti o modificare le funzionalità, rendendo meno probabile che l'attività riconducibile all'etichetta XWorm rappresenti un'unica operazione controllata centralmente.
Le priorità per i difensori
Le organizzazioni che rilevano XWorm dovrebbero trattare l'host Windows interessato come una compromissione interattiva, non semplicemente come un sistema che ha eseguito un file malevolo statico. Le funzioni segnalate significano che un operatore potrebbe aver osservato l'attività dell'utente, controllato schede di browser autenticate, attivato sensori o avviato ulteriori payload.
La risposta agli incidenti dovrebbe concentrarsi sull'isolamento del dispositivo, sull'analisi dei processi e dell'attività di rete associati all'infezione e sulla verifica delle azioni eseguite tramite le sessioni di browser attive. Le sessioni autenticate esposte sul sistema vanno terminate e, ove opportuno, le credenziali reimpostate da un dispositivo attendibile.
Poiché il resoconto di Netskope descrive il controllo di sessioni già esistenti, attivare l'MFA resta utile ma non costituisce una risposta completa a un endpoint infetto. Prevenire e rilevare la compromissione iniziale, e invalidare le sessioni dopo il contenimento, sono aspetti centrali per limitare l'impatto concreto delle capacità di sorveglianza ampliate di XWorm.
