O XWorm, um tipo de software malicioso, tem transformado computadores infectados em instrumentos de vigilância. Este malware está ativo no Brasil e possui a capacidade de gravar conversas através do microfone, monitorar a localização geográfica e capturar imagens utilizando a webcam.
Adicionalmente, o programa permite que criminosos assumam o controle de sessões de navegação e obtenham acesso a contas que já estejam logadas no sistema da vítima.
De acordo com o Netskope Threat Labs, foram registrados 1.236 incidentes de detecção durante o terceiro trimestre de 2026, o que representa um aumento de quatro vezes em comparação com o mesmo período de 2025. Este levantamento indica tanto a ampliação das funcionalidades do malware quanto a persistência da ameaça, mesmo após o vazamento de ferramentas utilizadas para sua criação.
Desde julho de 2025, pesquisadores conseguiram identificar quatro variantes do XWorm em circulação: V6.4, V6.5, V7.2 e V7.4. Paralelamente, o número de plugins associados a esta ferramenta aumentou, passando de 35 para 46.
As diversas funções identificadas pela Netskope podem ser executadas sem que a vítima perceba. No que tange ao rastreamento de localização, o malware consegue acessar as coordenadas alterando uma configuração específica do Windows, sem exibir o pedido de permissão que seria usualmente apresentado ao usuário.
O módulo denominado HBrowser eleva o nível de risco ao possibilitar que o invasor interaja diretamente com o navegador da vítima. O operador pode acompanhar a tela e realizar ações nas páginas abertas, simulando o uso remoto do computador.
Na prática, essa funcionalidade concede acesso a serviços onde a vítima já possui autenticação, dispensando a necessidade de o invasor adivinhar senhas ou iniciar uma nova sessão. O mecanismo também é capaz de contornar solicitações de autenticação multifator (MFA), embora o escopo desse acesso dependa das medidas de segurança implementadas em cada serviço.
A propagação do XWorm intensificou-se em 2025, motivada pelo vazamento de ferramentas de desenvolvimento do próprio malware. Em junho daquele ano, foi divulgada uma versão modificada do construtor, e em agosto, o código-fonte alterado da versão 6.4 também vazou. A Netskope relatou que as detecções cresceram após essas divulgações e mantiveram-se acima dos patamares anteriores.
Além do Brasil, outros países com alta incidência de atividade do XWorm incluem Índia, Itália, Panamá e Estados Unidos. Os serviços financeiros constituem cerca de 35% das organizações clientes que foram atingidas.
Apenas em setembro de 2026, foram contabilizados 601 eventos de detecção, o que corresponde a quase metade do total registrado no trimestre, demonstrando que o malware permanecia ativo no período analisado.
Para quem suspeita de uma infecção, recomenda-se verificar as contas utilizando um dispositivo diferente e seguro, além de inspecionar o computador comprometido para localizar e remover o software. Enquanto o XWorm estiver instalado, os criminosos manterão a vigilância sobre o ambiente e utilizarão as sessões abertas no navegador.