XWorm, тип вредоносного программного обеспечения, превращает зараженные компьютеры в инструменты наблюдения. Этот вредоносный код активен в Бразилии и способен записывать разговоры через микрофон, отслеживать географическое местоположение и делать снимки с помощью веб-камеры.
Кроме того, программа позволяет преступникам брать под контроль сеансы просмотра и получать доступ к учетным записям, которые уже авторизованы в системе жертвы.
По данным Netskope Threat Labs, в третьем квартале 2026 года было зарегистрировано 1236 инцидентов обнаружения, что на четыре раза больше по сравнению с аналогичным периодом 2025 года. Этот отчет указывает как на расширение функционала вредоносного ПО, так и на сохранение угрозы даже после утечки инструментов, использовавшихся для его создания.
С июля 2025 года исследователи смогли выявить четыре варианта XWorm в обращении: V6.4, V6.5, V7.2 и V7.4. Параллельно увеличилось количество плагинов, связанных с этим инструментом, с 35 до 46.
Различные функции, выявленные Netskope, могут выполняться без ведома жертвы. Что касается отслеживания местоположения, вредоносное ПО может получить доступ к координатам, изменяя определенную настройку Windows, не отображая при этом запроса на разрешение, который обычно показывается пользователю.
Модуль под названием HBrowser повышает уровень риска, позволяя злоумышленнику напрямую взаимодействовать с браузером жертвы. Оператор может следить за экраном и выполнять действия на открытых страницах, имитируя удаленное использование компьютера.
На практике эта функция предоставляет доступ к сервисам, где жертва уже аутентифицирована, устраняя необходимость для злоумышленника угадывать пароли или начинать новую сессию. Механизм также способен обходить запросы многофакторной аутентификации (MFA), хотя объем этого доступа зависит от мер безопасности, реализованных в каждом сервисе.
Распространение XWorm усилилось в 2025 году, что было вызвано утечкой инструментов разработки самого вредоносного ПО. В июне того года была опубликована модифицированная версия конструктора, а в августе произошла утечка измененного исходного кода версии 6.4. Netskope сообщила, что обнаружения выросли после этих публикаций и остались выше предыдущих уровней.
Помимо Бразилии, другие страны с высокой частотой активности XWorm включают Индию, Италию, Панаму и Соединенные Штаты. Финансовые услуги составляют около 35% среди клиентских организаций, пострадавших от атаки.
Только в сентябре 2026 года было зафиксировано 601 событие обнаружения, что составляет почти половину от общего числа, зарегистрированного за квартал, демонстрируя, что вредоносное ПО оставалось активным в анализируемый период.
Тем, кто подозревает заражение, рекомендуется проверить учетные записи, используя другое безопасное устройство, а также провести проверку скомпрометированного компьютера для поиска и удаления программного обеспечения. Пока XWorm установлен, преступники будут продолжать наблюдение за средой и использовать открытые сеансы в браузере.