Điểm chính

  • Mã độc XWorm phát triển thành bộ công cụ gián điệp tinh vi trên hệ điều hành Windows.
  • Kẻ tấn công sử dụng plugin HBrowser để thao túng trình duyệt và vượt qua lớp xác thực đa yếu tố MFA.
  • XWorm tích hợp khả năng ghi âm thời gian thực qua micro và tự động thay đổi registry để theo dõi vị trí.

Mã độc XWorm đã có sự chuyển dịch mạnh mẽ vượt xa các chức năng đánh cắp mật khẩu thông thường, trở thành một bộ công cụ gián điệp toàn diện giúp kẻ xấu kiểm soát thiết bị Windows của nạn nhân, theo báo cáo từ Netskope Threat Labs.

Phương thức chiếm quyền trình duyệt và né tránh MFA

Điểm nguy hiểm nhất trong các phiên bản XWorm gần đây là khả năng tương tác trực tiếp với các phiên làm việc đã đăng nhập sẵn. Thay vì đánh cắp thông tin xác thực để đăng nhập lại, mã độc cho phép kẻ tấn công thao túng trực tiếp trình duyệt của nạn nhân. Nhờ đó, chúng có thể truy cập vào các tài khoản quan trọng mà không cần phải vượt qua các thử thách xác thực đa yếu tố (MFA) vốn là rào cản lớn.

Plugin HBrowser xuất hiện từ phiên bản 6 mang lại giao diện tương tác thời gian thực giữa kẻ tấn công và trình duyệt nạn nhân. Khi lệnh OpenBrowser được kích hoạt qua hệ thống điều khiển C2, mã độc sẽ truyền tải toàn bộ thao tác chuột, bàn phím cùng hình ảnh màn hình thông qua mã hóa AES. Điều này giúp kẻ gian hành động hệt như một người dùng hợp pháp trên các tab đang mở.

Khả năng ghi âm và theo dõi vị trí

Bên cạnh việc kiểm soát trình duyệt, XWorm còn tận dụng thư viện NAudio cùng hàm WaveInEvent nhằm ghi lại âm thanh từ micro của thiết bị mục tiêu. Dữ liệu âm thanh này được nén, mã hóa và gửi về máy chủ điều khiển với độ trễ tối thiểu chỉ khoảng 0,5 giây.

Đồng thời, plugin Maps tích hợp trong mã độc có khả năng tự động can thiệp và thay đổi giá trị trong registry hệ thống. Thao tác này nhằm mục đích cấp phép truy cập vị trí địa lý của thiết bị mà không cần sự đồng thuận hay hiển thị cảnh báo cho người dùng.

Biện pháp phòng ngừa và phát hiện mã độc

Nhằm ứng phó hiệu quả với các biến thể XWorm mới, các trung tâm điều hành an ninh mạng (SOC) được khuyến cáo nên chuyển dịch trọng tâm sang giám sát hành vi bất thường thay vì chỉ phụ thuộc vào các chữ ký tĩnh. Việc theo dõi sát sao các tiến trình con của trình duyệt kết hợp với các kết nối mạng đáng ngờ từ dịch vụ tunneling như LocaltoNet đóng vai trò cốt lõi.

Các tổ chức cũng cần chủ động tăng cường bảo mật hệ thống (hardening) bằng cách siết chặt quyền ghi đối với các khóa registry nhạy cảm. Ngoài ra, việc triển khai các giải pháp phát hiện và phản hồi đầu cuối (EDR) sẽ giúp phát hiện kịp thời các hành vi né tránh phòng thủ như unhooking NTdll.dll thường gặp ở phiên bản XWorm V7.4.