Die Entwickler des Remote-Access-Trojans XWorm haben die Schadsoftware mit neuen Überwachungsmodulen ausgestattet. Das Schadprogramm, das für Windows-Systeme konzipiert ist und erstmals im Jahr 2022 auftauchte, wurde um Funktionen für die Standortverfolgung, Live-Audioübertragung, Webcam-Zugriffe sowie die gezielte Übernahme authentifizierter Browser-Sitzungen erweitert. Dies geht aus einem Bericht des Fachportals securityweek.com vom 13. Oktober 2026 hervor.
Im Zuge dieser Weiterentwicklung wuchs der Funktionsumfang des Schädlings beträchtlich. Während XWorm im Juli 2025 noch über 35 Plugins verfügte, stieg die Zahl der verfügbaren Erweiterungen bis zum Oktober 2026 auf 46 an.
Seit einem Sicherheitsbericht aus dem Juli 2025 wurden vier neue Versionen der Malware im Umlauf registriert: V6.4, V6.5 mit dem Namenszusatz „XWorm Reborn“, V7.2 sowie V7.4. Bei Analysen der Version V6.4 fielen zudem Branding-Artefakte mit den Bezeichnungen celestialproject.org und c3lestial.fun in den PE-Metadaten auf, die jedoch nicht als aktive Command-and-Control-Infrastruktur bestätigt sind.
Neben anderen Verbreitungswegen wird XWorm auch über den Schadsoftware-Verteiler 2CLoader verbreitet, der parallel für Payloads wie Vidar und Remus Stealer genutzt wird.
Gezielte Umgehung von Multi-Faktor-Authentifizierungen
Besondere Aufmerksamkeit zieht das sogenannte HBrowser-Plugin auf sich. Dieses Modul ermöglicht es Angreifern, bereits authentifizierte Browser-Sitzungen auf dem Zielsystem zu übernehmen.
Da der Fernzugriff auf bestehende Sitzungen aufsetzt, benötigen die Angreifer keine ausgespähten Passwörter und können auf diesem Weg auch implementierte Multi-Faktor-Authentifizierungen (MFA) vollständig umgehen. Die Steuerung der gekaperten Browser-Instanzen erfolgt dabei über einen AES-verschlüsselten Command-and-Control-Kanal.
Wer sich mit der zunehmenden Professionalität von Cyberangriffen befasst, erkennt schnell, dass herkömmliche Passwörter allein oft keinen ausreichenden Schutz mehr bieten. Erfahren Sie in diesem kostenlosen Report, wie die moderne Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. effektiv vor Datenklau schützt. Sicher, bequem und passwortlos – jetzt Gratis-Report sichern
Zusätzlich integrierten die Entwickler tiefergehende Spionage-Werkzeuge. Das neu hinzugefügte Maps-Plugin manipuliert eigenständig die Windows-Registry, indem es die Freigabe für Standortdaten auf den Wert „Allow“ setzt.
Anschließend initiiert die Schadsoftware den Prozess GeoCoordinateWatcher.TryStart mit einem Timeout von 15 Sekunden zur Positionsbestimmung; schlägt dieser Vorgang fehl, greift das Modul auf eine IP-basierte Geolocation als Fallback zurück. Zur akustischen Raumüberwachung setzt das integrierte Microphone-Plugin auf das Modul NAudio WaveInEvent, um Tonspuren live mitzuschneiden und zu übertragen.
Starker Anstieg der Erkennungsraten im Finanzsektor
Angesichts der rasanten Zunahme von Spionage-Software und Trojanern wird eine proaktive Absicherung der IT-Infrastruktur für immer mehr Verantwortliche zur Pflicht. Dieser kostenlose Leitfaden zeigt praxisnahe Wege auf, wie Sie Sicherheitslücken schließen und Ihr Unternehmen ohne hohe Investitionen vor aktuellen Bedrohungen schützen. Cyber Security E-Book: Jetzt proaktiv absichern
Die Weiterentwicklung der Malware schlägt sich auch in konkreten Angriffszahlen nieder. Das IT-Sicherheitsunternehmen Netskope registrierte im dritten Quartal 2026 über 1.200 Vorfälle, die sich auf 100 Organisationen verteilten. Insgesamt wurden in diesem Zeitraum 1.236 Erkennungsereignisse bei mehr als 100 Kundenorganisationen dokumentiert, was einem vierfachen Anstieg im Vergleich zum dritten Quartal 2025 entspricht.
Ein wesentlicher Teil dieser Aktivitäten zielte auf hochsensible Unternehmensdaten ab. Finanzdienstleister machten rund 35 Prozent der von den Vorfällen betroffenen Kunden aus. Geografisch konzentrierten sich die verzeichneten Schadsoftware-Aktivitäten vor allem auf Unternehmen und Einrichtungen in Indien, Brasilien, Italien, Panama sowie den USA.