XWorm, nuovi plugin: spia dal microfono e controllo delle sessioni browser attive

• XWorm ha 46 plugin: microfono, webcam, posizione e controllo remoto del browser autenticato
• Netskope: 1.236 rilevamenti in oltre 100 organizzazioni nel Q3 2026, quadruplicati sul Q3 2025
• Il 35% dei clienti colpiti è nella finanza; attività anche in Italia
• Indagare insieme compromissione del dispositivo e uso anomalo degli account

Il malware XWorm va oltre il furto di password. Secondo l’ultimo rapporto di Netskope Threat Labs, i suoi plugin permettono ora di ascoltare dal microfono di un computer Windows infetto, stimarne la posizione e controllare il browser in cui l’utente ha già effettuato l’accesso.

I numeri della campagna

I ricercatori hanno individuato quattro versioni di XWorm attive dal loro report di luglio 2025. Nel terzo trimestre 2026 hanno registrato 1.236 eventi di rilevamento in più di 100 organizzazioni clienti, il quadruplo del Q3 2025. Sono rilevamenti, non un conteggio di dispositivi infetti unici.

Circa il 35% dei clienti colpiti opera nei servizi finanziari. L’attività si concentra in India, Brasile, Italia, Panama e Stati Uniti.

Il plugin HBrowser

Disponibile dalla versione 6, HBrowser offre all’operatore una vista interattiva del browser della vittima. L’attaccante sceglie un browser supportato dal pannello di controllo e invia il comando OpenBrowser tramite il canale di command-and-control. Il computer infetto invia screenshot e riceve clic, movimenti del cursore, scorrimento, input da tastiera e testo incollato, tutto su un canale cifrato con AES.

Si ottiene così una sessione remota funzionante, che consente di usare gli account senza un nuovo login. Netskope precisa che XWorm non rompe l’autenticazione a più fattori: sfrutta una sessione già autenticata, quindi non scatta una nuova verifica MFA. Non significa che il malware aggirerebbe qualunque controllo di sicurezza.

Microfono, webcam e posizione

Il plugin Microphone usa la funzione WaveInEvent della libreria NAudio. Elenca i dispositivi con il comando MICCM e registra audio mono a 8 kHz e 16 bit in buffer da 500 millisecondi. Ogni buffer viene compresso, codificato, cifrato e inviato all’operatore, con una latenza di circa mezzo secondo. I comandi CLOSEMIC e ENDMIC interrompono la registrazione o chiudono la sessione. È disponibile anche la cattura da webcam su richiesta.

Il plugin Maps imposta su Allow il valore di registro che regola il consenso alla localizzazione, poi richiede le coordinate. Netskope lo ha osservato in azione senza escalation di privilegi e senza richiesta visibile all’utente. Se il GPS non è disponibile, ricorre alla geolocalizzazione via IP, meno precisa.

Sviluppo alimentato dai builder trapelati

I plugin confermati sono passati da 35 a 46. Le versioni tracciate sono V6.4, V6.5 “XWorm Reborn”, V7.2 e V7.4. Tra le novità figurano Rootkit, SteamTokenRecovery, HRDP, Cmstp-Bypass e ResetSurvival.

Un builder craccato è comparso in pubblico a giugno 2025, seguito ad agosto dal codice sorgente modificato della V6.4. Netskope collega queste uscite all’aumento dei rilevamenti, rimasti alti nel 2026. La V7.2 ha aggiunto occultamento in codice nativo e sei controlli anti-virtual machine. La V7.4 usa il dropper XBinder, l’unhooking di NTdll e un’infrastruttura di controllo basata su LocaltoNet.

Cosa fare

• Indagare la compromissione del dispositivo insieme all’uso anomalo degli account.
• Correlare accessi al browser, uso del microfono, modifiche al registro e traffico di controllo remoto, anziché trattarli come eventi separati.
• Ricordare che una sessione valida non prova che chi la usa sia legittimo.

Fonte: Cyber Security News · Foto: Cyber Security News