XWorm пережил момент, когда обычный RAT начал вести себя как карманная система слежки. Netskope Threat Labs зафиксировала сразу четыре версии вредоноса в активном обращении и 46 плагинов. В арсенале появились скрытая запись звука, определение местоположения, захват браузерных сессий и механизм переживания сброса Windows.
Самая неприятная новинка получила имя ResetSurvival. Trellix ранее разобрала механизм плагина и выяснила, что при наличии повышенных прав XWorm кладёт свои файлы в C:\Recovery\OEM и создаёт ResetConfig.xml. Windows запускает подготовленный BAT-файл после обычного или заводского сброса, после чего вредонос снова прописывает копию в автозагрузку и запускается.
Набор слежки тоже заметно вырос. Плагин Microphone передаёт живой звук с выбранного устройства записи, нарезая поток на 500-миллисекундные фрагменты. Maps меняет параметр согласия Windows в реестре, получает координаты без видимого запроса и при отсутствии GPS переходит на геолокацию по IP. Веб-камера включается удалённо по команде оператора, без отдельного нового инструмента.
Отдельный модуль HBrowser превращает уже открытый браузер жертвы в удалённую рабочую среду. Оператор видит непрерывный поток снимков экрана, двигает курсор, вводит текст и получает доступ к авторизованным вкладкам. Пароли красть не требуется, поэтому многофакторная аутентификация не останавливает работу с уже созданной сессией и не требует повторного входа в аккаунт.
Рост возможностей совпал с утечкой инструментария. В июне 2025 года в открытый доступ попал взломанный builder XWorm, а в августе появился изменённый исходный код версии 6.4. После публикации активность резко выросла. В третьем квартале 2026 года Netskope зарегистрировала 1236 событий более чем в 100 организациях, что в четыре раза выше показателя годом ранее.
После отчёта о версии 6.0 специалисты выявили варианты 6.4, 6.5 «XWorm Reborn», 7.2 и 7.4. Сборка 6.5 получила ResetSurvival, Rootkit, SteamTokenRecovery, HRDP и Cmstp-Bypass, а более новые версии добавили обфускацию, проверки виртуальных машин и новые способы связи с C2. XWorm V7.4 уже встречался в цепочках, где загрузчик скрывал полезную нагрузку и ослаблял защитные механизмы Windows.
Утечка builder и исходников фактически дала разным операторам общую платформу, которую можно дополнять плагинами. В первом квартале 2026 года число детектов достигало семикратного уровня относительно исходной базы и сохранялось высоким во втором квартале. Около 35% затронутых клиентов Netskope относятся к финансовому сектору, а заметная активность наблюдалась в Индии, Бразилии, Италии, Панаме и США.
