Os desenvolvedores do XWorm RAT (trojan de acesso remoto) ampliaram as capacidades do malware com novos plugins que o transformam em uma plataforma de vigilância, segundo informa a empresa de cibersegurança Netskope.
Sofisticado e multifuncional, o RAT para Windows foi observado pela primeira vez em 2022. O XWorm oferece aos atacantes controle total sobre os sistemas infectados, com recursos de registro de teclas (keylogging), captura de tela, acesso à webcam e execução de cargas maliciosas (payloads).
Os desenvolvedores têm atualizado constantemente a base de código e acrescentado novas funcionalidades, e a ameaça segue altamente ativa: a Netskope registrou mais de 1.200 incidentes em 100 organizações durante o terceiro trimestre do ano.
Junto com as novas variantes, os desenvolvedores também aumentaram o número de plugins compatíveis com o XWorm, de 35 em julho de 2025 para 46 em outubro de 2026.
Alguns deles foram claramente projetados para vigilância: permitem o rastreamento de localização, a transmissão de áudio ao vivo, a captura pela webcam e o controle interativo sobre sessões de navegador autenticadas.
“O plugin Maps fornece a localização GPS (Sistema de Posicionamento Global) das vítimas sem solicitar autorização do usuário. O plugin Microphone transmite áudio ao vivo do dispositivo da vítima. O HBrowser sequestra sessões de navegador autenticadas sem tocar nas credenciais, contornando totalmente a autenticação multifator (MFA). A captura pela webcam também está disponível sob demanda”, afirma a Netskope.
Segundo a empresa de cibersegurança, a atividade em torno do XWorm aumentou desde que uma versão crackeada de seu construtor (builder) foi divulgada publicamente em junho de 2025, e o código-fonte da versão 6.4 do RAT vazou em agosto de 2025.
Com a adição do plugin HBrowser, o RAT vai além da coleta de credenciais e de dados do usuário extraídos dos navegadores: ele oferece ao operador uma visão em tempo real do navegador e pode repassar ao navegador as entradas enviadas pelo atacante.
As interações do operador são codificadas como comandos de comando e controle (C&C), transmitidos pelo canal de comunicação criptografado com AES (Padrão de Criptografia Avançada) do XWorm e executados no sistema da vítima.
“A máquina da vítima recebe esses comandos e executa a entrada correspondente na janela ativa do navegador. O operador recebe um fluxo contínuo de capturas de tela. Na perspectiva do operador, trata-se de uma sessão completa de navegador remoto. Todas as abas autenticadas ficam acessíveis, sem necessidade de login nem de lidar com a MFA”, explica a empresa.
Os plugins Maps e Microphone permitem que os operadores monitorem a localização da vítima e capturem áudio sem escalonamento de privilégios e sem qualquer aviso ao usuário.
“O XWorm continua evoluindo e agora incorporou recursos de vigilância. Desde que seu construtor e seu código-fonte vazaram, esperamos novas atualizações e o uso contínuo desse conjunto de ferramentas”, observa a Netskope.
