XWorm RAT превращается в полноценную spyware-платформу.

Разработчики существенно нарастили возможности зловреда: обновленная линейка плагинов позволяет отслеживать местоположение пользователей, транслировать аудио в реальном времени и взаимодействовать с аутентифицированными сеансами браузера.

XWorm - это сложный, многофункциональный RAT для Windows, впервые обнаруженный в 2022 году, который предоставляет операторам полный контроль над жертвой, реализуя функции перехвата нажатий клавиш, создания скриншотов, доступа к камере и выполнения полезной нагрузки.

Разработчики вредоносного ПО постоянно обновляют его код, добавляя новый функционал. Угроза остается крайне активной: по данным Netskope, за третий квартал года было зафиксировано более 1200 инцидентов в 100 организациях.

Наряду с новыми вариантами, разработчики также увеличили количество плагинов, поддерживаемых XWorm, с 35 в июле 2025 года до 46 в октябре 2026 года.

Некоторые из них явно предназначены для кибершпионажа: они позволяют отслеживать местоположение, осуществлять потоковую передачу звука в реальном времени, захватывать изображение с веб-камеры и интерактивно управлять авторизованными сеансами браузера.

Плагин «Карты» предоставляет GPS-геолоцирование жертв без запроса подтверждения от пользователя. Плагин «Микрофон» транслирует аудио в реальном времени с устройства жертвы. Осуществляя все без повышения привилегий и без предупреждения пользователя.

HBrowser перехватывает аутентифицированные сеансы браузера, не затрагивая учетные данные, полностью обходя MFa. Запись с веб-камеры также доступна по запросу.

Как отмечают в Netskope, внимание киберпопдолья к XWorm резко возросло после того, как в июне 2025 года в открытый доступ была выпущена взломанная версия его конструктора, а в августе 2025 года произошла утечка исходного кода версии RAT 6.4.

Благодаря добавлению плагина HBrowser, RAT выходит за рамки простого сбора учетных данных и пользовательских данных из браузеров. предоставляя оператору информацию о состоянии браузера в режиме реального времени, а также способен передавать в браузер данные, вводимые злоумышленником.

Взаимодействие оператора кодируется в виде команд С2, передается по стандартному каналу связи XWorm с шифрованием AES и выполняется в системе жертвы.

Машина жертвы получает их и выполняет соответствующие действия в активном окне браузера. Оператор получает непрерывный поток скриншотов.

С точки зрения оператора, это полноценная удаленная сессия браузера. Доступна каждая аутентифицированная вкладка, что исключает необходимость входа в систему и работы с многофакторной аутентификацией.

В Netskope констатируют: XWorm продолжает развиваться и теперь существенно усилил возможности шпионажа. В виду того, что его конструктор и исходный код были опубликованы, следует ожидать дальнейших обновлений и более активного применения инструментария.