XWorm evoluciona de ladrón de datos a herramienta de espionaje digital

Netskope Threat Labs ha detectado una nueva fase en la evolución de XWorm, una amenaza que ha pasado de centrarse en el robo de credenciales y datos a convertirse en una plataforma avanzada de vigilancia y control remoto. Durante el tercer trimestre de 2026, la compañía registró 1.236 detecciones en más de 100 organizaciones, una cifra que cuadruplica la observada en el mismo periodo del año anterior.

Según el informe, esta evolución refleja un cambio en las estrategias de los atacantes. El objetivo ya no es únicamente obtener información sensible y abandonar el sistema, sino conservar el acceso a largo plazo para vigilar la actividad de los usuarios, aprovechar sesiones ya abiertas y operar en nombre de las víctimas.

El sector financiero es el más afectado, concentrando cerca del 35% de las organizaciones impactadas. La actividad maliciosa se ha observado especialmente en India, Brasil, Italia, Panamá y Estados Unidos.

 

El control remoto de sesiones como principal novedad

Uno de los elementos más relevantes detectados por los investigadores es HBrowser, un complemento que permite a los atacantes interactuar directamente con el navegador de un equipo infectado. A través de esta funcionalidad pueden visualizar la sesión activa, escribir, hacer clic o desplazarse por páginas web utilizando los permisos previamente concedidos al usuario legítimo.

La técnica no necesita romper la autenticación multifactor ni capturar nuevamente las credenciales. En lugar de ello, aprovecha sesiones donde la verificación ya ha sido completada, permitiendo a los ciberdelincuentes actuar dentro de cuentas abiertas sin superar nuevos controles de identidad.

Desde Netskope Threat Labs recuerdan que la autenticación multifactor sigue siendo una medida esencial de seguridad, pero advierten de que una sesión autenticada puede quedar comprometida si el dispositivo desde el que se accede ha sido infectado.

El análisis también revela una importante ampliación de las capacidades del malware. El número de complementos disponibles en XWorm ha aumentado de 35 a 46, incorporando nuevas opciones para vigilar a los usuarios y recopilar información adicional.

Entre las funcionalidades identificadas se encuentran el acceso a cámaras y micrófonos, así como la obtención de datos de ubicación. Una de las herramientas más llamativas es Maps, que puede modificar la configuración de consentimiento de Windows para solicitar coordenadas geográficas sin mostrar avisos visibles al usuario. Cuando los datos GPS no están disponibles, la localización puede realizarse mediante la dirección IP del equipo.

Para los investigadores, esta evolución confirma que el malware está incorporando capacidades propias de plataformas de vigilancia digital cada vez más sofisticadas.

 

Nuevas versiones para ocultarse mejor

Netskope ha identificado cuatro versiones principales de la amenaza: 6.4, 6.5, 7.2 y 7.4. Todas ellas muestran una evolución continua orientada a mejorar la persistencia y dificultar la detección por parte de los equipos de seguridad.

Las variantes más recientes incorporan mecanismos de ocultación, técnicas para detectar entornos virtualizados y nuevos métodos de comunicación con la infraestructura utilizada por los atacantes. Estas mejoras permiten incrementar el control sobre los equipos comprometidos y complican las tareas de análisis e investigación forense.

La situación actual tiene su origen en la filtración pública de la herramienta de creación de XWorm 6.4 a mediados de 2025. Desde entonces, las detecciones se han mantenido de forma constante por encima de los niveles anteriores, impulsando la expansión de esta amenaza entre un mayor número de actores maliciosos.

Los investigadores recuerdan que comenzaron a documentar la cadena de infección de XWorm en septiembre de 2024 y que en julio de 2025 analizaron en profundidad las capacidades de la versión 6.0. El seguimiento realizado desde entonces muestra una transformación progresiva hacia una amenaza híbrida que combina robo de información, acceso remoto, espionaje digital y explotación de sesiones autenticadas.

Esta evolución confirma una tendencia creciente en el panorama de la ciberdelincuencia: la búsqueda de acceso persistente a los dispositivos para prolongar las operaciones maliciosas y maximizar el valor obtenido de cada infección.