Phân tích mã độc XWorm: Kỹ thuật gián điệp qua Micro và chiếm quyền trình duyệt

• Mở rộng khả năng tấn công: XWorm hiện tích hợp các plugin cho phép kẻ tấn công nghe lén qua micro, định vị GPS và điều khiển trực tiếp trình duyệt của nạn nhân.
• Chiếm quyền phiên làm việc: Thay vì đánh cắp mật khẩu, mã độc tận dụng các phiên làm việc đã xác thực (authenticated sessions) để truy cập tài khoản mà không cần vượt qua MFA.
• Sự gia tăng đột biến: Dữ liệu từ các nhà nghiên cứu bảo mật cho thấy số lượng phát hiện XWorm trong Q3 2026 đã tăng gấp 4 lần so với cùng kỳ năm trước.
• Cảnh báo phòng thủ: Các tổ chức cần giám sát chặt chẽ các thay đổi registry, lưu lượng điều khiển từ xa và hành vi bất thường trên trình duyệt.

Tổng quan về sự tiến hóa của mã độc XWorm

Mã độc XWorm đã vượt xa chức năng đánh cắp mật khẩu truyền thống, trở thành một bộ công cụ gián điệp tinh vi cho phép kẻ tấn công kiểm soát thiết bị Windows của nạn nhân. Theo báo cáo từ các chuyên gia an ninh mạng tại Netskope Threat Labs, XWorm hiện nay có khả năng nghe lén qua micro, theo dõi vị trí địa lý và điều khiển trực tiếp các trình duyệt web đang mở.

Điểm đáng chú ý nhất trong các phiên bản gần đây là khả năng tương tác với các phiên làm việc đã đăng nhập. Thay vì thực hiện các cuộc tấn công đánh cắp thông tin xác thực, kẻ tấn công sử dụng XWorm để thao túng trình duyệt của nạn nhân, từ đó truy cập vào các tài khoản đã được xác thực mà không cần phải vượt qua các thử thách xác thực đa yếu tố (MFA) bổ sung.

Phân tích kỹ thuật các module gián điệp

Chiếm quyền điều khiển trình duyệt (HBrowser Plugin)

Plugin HBrowser, được giới thiệu từ phiên bản 6, cung cấp cho kẻ tấn công một giao diện tương tác thời gian thực với trình duyệt của nạn nhân. Khi lệnh OpenBrowser được gửi qua kênh C2 (Command-and-Control), mã độc sẽ truyền tải các thao tác chuột, bàn phím và nội dung màn hình thông qua kênh mã hóa AES.

# Cấu trúc lệnh điều khiển trình duyệt điển hình của XWorm: 
OpenBrowser<SPL>chrome<SPL><width><SPL><height>

Cơ chế này cho phép kẻ tấn công thực hiện các hành động như một người dùng thực thụ trên các tab đã đăng nhập, từ đó vượt qua các rào cản bảo mật thông thường mà không cần phải thực hiện đăng nhập lại từ đầu.

Gián điệp âm thanh và định vị

XWorm sử dụng thư viện NAudio với hàm WaveInEvent để ghi âm từ micro của thiết bị. Dữ liệu âm thanh được nén, mã hóa và truyền ngược lại qua kênh điều khiển với độ trễ chỉ khoảng 0,5 giây. Ngoài ra, plugin Maps của mã độc còn tự động thay đổi giá trị registry để cho phép truy cập vị trí mà không cần sự đồng ý của người dùng.

⚠️ Cảnh báo quan trọng: Việc thay đổi registry tại HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\location\Value là một chỉ số (IOC) quan trọng cho thấy thiết bị đã bị xâm nhập bởi XWorm.

Bảng tổng hợp các chỉ số IOC và lệnh điều khiển

Loại thực thể	Giá trị / Chỉ số	Mô tả tác động
Registry	ConsentStore\location\Value	Thay đổi quyền truy cập vị trí
Lệnh trình duyệt	OpenBrowser	Kích hoạt điều khiển trình duyệt từ xa
Lệnh âm thanh	MICCM / MICGET	Liệt kê thiết bị và truyền dữ liệu ghi âm
Dịch vụ C2	LocaltoNet	Dịch vụ tunneling được sử dụng trong phiên bản V7.4

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Để đối phó với các biến thể mới của XWorm, các đội ngũ SOC cần tập trung vào việc giám sát các hành vi bất thường thay vì chỉ dựa vào các chữ ký (signatures) tĩnh. Việc theo dõi các tiến trình con của trình duyệt và các kết nối mạng bất thường đến từ các dịch vụ tunneling như LocaltoNet là vô cùng cần thiết. Bạn có thể tham khảo thêm thông tin chi tiết về các kỹ thuật tấn công tại MITRE ATT&CK để xây dựng các quy tắc phát hiện hiệu quả.

Các tổ chức nên thực hiện hardening hệ thống bằng cách hạn chế quyền ghi vào các khóa registry nhạy cảm và triển khai các giải pháp EDR để phát hiện hành vi unhooking NTdll.dll, một kỹ thuật né tránh phòng thủ phổ biến trong các phiên bản XWorm V7.4.