El malware XWorm ha evolucionado más allá del robo de contraseñas, permitiendo a los atacantes escuchar a través de computadoras infectadas, rastrear la ubicación y controlar navegadores en sesiones ya iniciadas. Gracias a su creciente colección de complementos, un dispositivo Windows comprometido se convierte en una herramienta de espionaje y en una vía de acceso a cuentas en línea sin necesidad de robar las claves previamente.

El malware XWorm está yendo más allá del robo de contraseñas, brindando a los atacantes herramientas para escuchar a través de computadoras infectadas, rastrear su ubicación y controlar navegadores donde tú ya hayas iniciado sesión.

Su creciente colección de complementos convierte un dispositivo Windows comprometido tanto en una herramienta de espionaje como en una ruta hacia tus cuentas en línea, sin requerir que los atacantes roben tus contraseñas primero.

La función del navegador es especialmente preocupante porque utiliza sesiones que ya han pasado los controles de inicio de sesión. En lugar de iniciar sesión desde otra computadora, el atacante opera tu navegador directamente.

Esto puede permitir el acceso a cuentas autenticadas sin otro desafío de autenticación multifactor, aunque no significa que XWorm pueda derrotar todos los controles de seguridad posibles.

Investigadores de Netskope Threat Labs identificaron cuatro versiones de XWorm operando activamente desde su informe de julio de 2025.

En su último informe de investigación sobre XWorm, registraron 1,236 eventos de detección en más de 100 organizaciones de clientes durante el tercer trimestre de 2026, cuatro veces el volumen registrado en el tercer trimestre de 2025.

Estas cifras describen detecciones, no un recuento confirmado de dispositivos infectados únicos. Los servicios financieros representaron aproximadamente el 35% de los clientes afectados, con actividad concentrada en India, Brasil, Italia, Panamá y Estados Unidos.

Los hallazgos amplían informes anteriores sobre la entrega de scripts de XWorm para Windows, que mostraron cómo los scripts y PowerShell ayudaron a instalar el malware mientras ocultaban su ejecución dentro de procesos legítimos de Windows.

El malware XWorm puede espiar

El complemento HBrowser, disponible desde la versión 6, ofrece a los operadores una vista interactiva del navegador en ejecución de la víctima. El atacante selecciona un navegador compatible desde el panel de control, que envía un comando OpenBrowser a través del canal de comando y control de XWorm.

La computadora infectada acepta entonces la entrada remota y envía capturas de pantalla al operador. Los clics del mouse, los movimientos del cursor, el desplazamiento, la entrada del teclado y el texto pegado viajan a través del mismo canal cifrado con AES.

Esto crea una sesión de navegador remota funcional en lugar de una simple colección de archivos de navegador robados. Las pestañas autenticadas se vuelven accesibles, permitiendo que los atacantes usen tus cuentas mientras tu inicio de sesión existente permanece activo.

La distinción es importante: esto no es evidencia de que XWorm rompa el MFA por sí mismo. Evita un nuevo inicio de sesión al trabajar dentro de una sesión ya autenticada.

Informes relacionados sobre el secuestro de sesiones de navegador de GhostProfile describen otro enfoque para el acceso a cuentas en vivo, pero GhostProfile copia perfiles de navegador en macOS, mientras que Netskope describe a XWorm controlando un navegador en ejecución en Windows.

El complemento de Micrófono de XWorm utiliza la función WaveInEvent de la biblioteca NAudio para capturar sonido de un dispositivo de grabación seleccionado por el atacante.

Primero enumera los dispositivos disponibles a través del comando MICCM, luego graba audio mono de 8 kHz y 16 bits en buffers de 500 milisegundos. Cada buffer es comprimido, codificado, cifrado y transmitido de vuelta a través del canal de control.

Netskope reporta aproximadamente medio segundo de latencia de audio, y la grabación continúa mientras el operador mantiene la sesión abierta. Los comandos llamados CLOSEMIC y ENDMIC detienen la captura o finalizan la sesión.

La captura de la cámara web también está disponible bajo demanda, ampliando el riesgo más allá de los archivos robados hacia conversaciones y actividad alrededor del dispositivo infectado.

El complemento de Mapas cambia un valor del registro de consentimiento de ubicación de Windows a Allow antes de solicitar las coordenadas. Netskope observó que esto se ejecuta sin escalada de privilegios ni una solicitud de permiso visible.

Llama a GeoCoordinateWatcher.TryStart con un tiempo de espera de 15 segundos y recurre a la búsqueda de ubicación basada en IP cuando el GPS no está disponible. La ubicación derivada de la IP no debe confundirse con coordenadas precisas de GPS.

Los constructores filtrados impulsan el desarrollo continuo

El recuento confirmado de complementos aumentó de 35 a 46 después del informe de Netskope de julio de 2025. Los investigadores rastrearon las versiones V6.4, V6.5 “XWorm Reborn”, V7.2 y V7.4, con adiciones que incluyen Rootkit, SteamTokenRecovery, HRDP, Cmstp-Bypass y ResetSurvival.

Este crecimiento se basa en las técnicas de evasión de defensa de XWorm, reportadas previamente junto con cambios en los cargadores, formatos de scripts e intentos de debilitar el monitoreo de Windows.

Un constructor "crackeado" apareció públicamente en junio de 2025, seguido del código fuente modificado de la V6.4 en agosto. Netskope vinculó estos lanzamientos a mayores volúmenes de detección, que se mantuvieron por encima de los niveles anteriores durante 2026.

La V7.2 añadió ocultamiento de código nativo y seis comprobaciones anti-máquina virtual, mientras que la V7.4 utilizó un dropper XBinder, desenganche de NTdll e infraestructura de control basada en LocaltoNet.

Para quienes defienden sus sistemas, el informe resalta la necesidad de investigar el compromiso del dispositivo junto con el mal uso de la cuenta. Campañas anteriores de recibos falsos de XWorm muestran cómo documentos comerciales ordinarios pueden conducir a la infección.

El acceso al navegador, la captura del micrófono, los cambios en el registro y el tráfico de control remoto deben examinarse en conjunto en lugar de tratarse como eventos no relacionados. Una sesión de cuenta válida no prueba que la persona que la usa sea legítima.

Fuentes:
https://cybersecuritynews.com/xworm-malware-2/