XWorm RAT'a canlı ses dinleme, konum takibi ve tarayıcı ele geçirme eklentileri eklendi

İlk kez 2022'de görülen Windows uzaktan erişim truva atı (RAT) XWorm, canlı ses dinleme, konum takibi ve tarayıcı oturumu ele geçirme eklentileriyle kapsamlı bir gözetim platformuna dönüştü. SecurityWeek'in 13 Ekim'de aktardığı Netskope araştırmasına göre zararlı yazılımın etkinliği bu yıl belirgin şekilde arttı. Araştırmacılar bu artışı, oluşturucusunun ve kaynak kodunun sızdırılmasına bağlıyor.

Neler oldu?

Netskope, "XWorm Reborn" başlıklı raporunda 2026'nın üçüncü çeyreğinde 100 kurumda 1.200'den fazla XWorm olayı tespit ettiğini açıkladı. SecurityWeek'e göre Netskope artan etkinliği iki sızıntıya bağlıyor: Haziran 2025'te kırılmış bir XWorm oluşturucusu kamuya açık şekilde yayımlandı, Ağustos 2025'te ise 6.4 sürümünün kaynak kodu sızdı. Bu sızıntılar, başka tehdit aktörlerinin kendi varyantlarını oluşturup özelleştirmesini kolaylaştırdı.

Araştırmacılar, XWorm'un desteklediği eklenti sayısının Temmuz 2025'teki 35'ten Ekim 2026'da 46'ya yükseldiğini tespit etti.

Teknik detaylar

XWorm zaten tuş kaydı, ekran görüntüsü alma, web kamerası erişimi ve ek yük çalıştırma gibi standart RAT yeteneklerine sahipti. SecurityWeek'in aktardığına göre Netskope şu yeni eklentilere dikkat çekiyor:

• Maps: Kullanıcıya herhangi bir izin sorusu göstermeden kurbanın GPS konumunu iletiyor.
• Microphone: Enfekte cihazdan canlı ses aktarıyor.
• HBrowser: Saldırgana kurbanın tarayıcısını gerçek zamanlı izleme imkânı veriyor ve saldırganın girdilerini tarayıcıya aktarıyor. Netskope'a göre bu sayede saldırganlar, kimlik bilgisi çalmadan açık oturumları kullanabiliyor ve çok faktörlü kimlik doğrulamayı (MFA) fiilen aşıyor.
• Web kamerası görüntüsü: İstendiğinde alınabiliyor.

Netskope, Maps ve Microphone eklentilerinin yetki yükseltmeye gerek duymadan ve kullanıcıya uyarı göstermeden çalışabildiğini belirtiyor.

SecurityWeek'in haberi, XWorm'un güncel kampanyalarda nasıl dağıtıldığını, hangi sektör veya bölgelerin hedef alındığını ya da ele geçirilme göstergelerini (IOC) içermiyor. Bu teknik ayrıntılar Netskope'un özgün araştırmasında yer alıyor.

Kimler etkileniyor?

XWorm Windows sistemlerini hedef alıyor. Oluşturucusu ve kaynak kodu kamuya açık olduğu için tek bir grup tarafından değil, çok sayıda farklı operatör tarafından kullanılıyor. Bu da hedeflerin çeşitli olmasına yol açıyor. Tarayıcı ele geçirme yeteneği, MFA ile korunan web uygulamalarına güvenen kurumlar için özellikle endişe verici. Canlı bir oturumun içinde çalışan saldırganın ikinci doğrulama adımını aşmasına gerek kalmıyor.

Ne yapmalı?

Güvenlik ekipleri, uç nokta korumalarının XWorm'u ve eklentilerini tespit ettiğinden emin olmalı ve Netskope'un yayımladığı göstergeleri incelemeli. Mikrofona, web kamerasına veya konum hizmetlerine beklenmedik şekilde erişen süreçler araştırılmalı. Hassas web uygulamalarında oturum sürelerini kısaltmak, mümkün olduğunda oturumları cihaza bağlamak ve olağan dışı oturum etkinliğini izlemek, tarayıcı ele geçirmenin etkisini sınırlayabilir. Kullanıcılar, bu tür yaygın RAT'ları sıklıkla taşıyan güvenilmeyen ekler ve indirmeler konusunda uyarılmaya devam etmeli.