Builder vazado do XWorm transforma RAT em kit de vigilância que sequestra sessões sem roubar senha
O vazamento do builder crackeado do XWorm em 2025 fez as detecções do malware quadruplicarem, segundo a Netskope Threat Labs, que já identificou quatro versões ativas com 46 plugins. O setor financeiro responde por cerca de 35% das organizações atingidas, com forte atividade também no Brasil, e o diferencial do malware é um plugin que controla o navegador da vítima ao vivo, dispensando o roubo de credenciais e tornando a autenticação multifator irrelevante.
O XWorm é um trojan de acesso remoto (RAT) monitorado desde setembro de 2024 que ganhou tração explosiva depois que seu builder crackeado vazou publicamente em junho de 2025, seguido do código-fonte da versão 6.4 em agosto do mesmo ano. Esse vazamento baixou a barreira de entrada para qualquer criminoso montar sua própria campanha, e a Netskope Threat Labs já rastreia quatro variantes (V6.4, V6.5, V7.2 e V7.4) com 46 plugins conhecidos, somando 1.236 eventos em mais de 100 organizações só no terceiro trimestre de 2026. O setor financeiro concentra cerca de 35% das vítimas, com presença relevante no Brasil, Índia, Itália, Panamá e Estados Unidos.
O que torna essa campanha especialmente perigosa para fraude é o plugin HBrowser: em vez de exfiltrar senhas ou tokens, ele dá ao operador controle completo e em tempo real do navegador já logado da vítima — mouse, teclado, colagem de texto e visualização ao vivo das abas abertas. Na prática, o criminoso usa a sessão bancária, de e-commerce ou de e-mail corporativo que a própria vítima já autenticou, o que elimina a etapa de roubo de credenciais e torna MFA, biometria e tokens de uso único irrelevantes: não há novo login para desafiar, apenas uma sessão legítima sendo pilotada remotamente. O malware ainda soma geolocalização que ignora os prompts de permissão do Windows, captura de áudio do microfone em blocos criptografados e acesso à webcam sob demanda.
Esse modelo de ataque desloca o ponto cego de detecção: sistemas antifraude que monitoram login anômalo (IP novo, device fingerprint diferente, impossible travel) não disparam, porque do ponto de vista do banco ou da plataforma é a mesma sessão, no mesmo dispositivo, do mesmo usuário. A defesa eficaz tem que olhar para comportamento dentro da sessão — digitação, padrões de clique, velocidade de preenchimento de formulários de transferência — e não apenas para o momento da autenticação.
Para reconhecer e mitigar, vale monitorar conexões de ferramentas de acesso remoto não sancionadas (RMM), processos que assumem controle de mouse/teclado sem interação humana correspondente, e picos de tráfego para C2 após a execução de anexos ou instaladores piratas — vetor comum de entrega do XWorm. Soluções de EDR com análise comportamental de controle remoto e segmentação de contas financeiras/privilegiadas ajudam a limitar o raio de dano. Com builder e código-fonte já públicos, é esperado que surjam ainda mais variantes derivadas, então equipes de resposta a incidentes devem tratar qualquer detecção de XWorm como potencial sequestro de sessão ativo, revogando tokens e forçando reautenticação completa, não apenas troca de senha.