O XWorm, um tipo de malware que transforma máquinas infectadas em ferramentas de vigilância, está operando no Brasil. Ele é capaz de captar conversas através do microfone, rastrear a localização e tirar fotos usando a webcam dos dispositivos. Além disso, esse software malicioso permite que os criminosos assumam o controle das sessões do navegador e acessem contas já logadas.
No terceiro trimestre de 2026, o Netskope Threat Labs detectou 1.236 eventos relacionados ao XWorm, um aumento de quatro vezes se comparado ao mesmo período do ano anterior. Essa pesquisa evidencia a ampliação das funcionalidades do malware e sua persistência como ameaça após o vazamento de ferramentas que possibilitaram sua criação.
Mecanismos de espionagem do XWorm
O XWorm agrega uma variedade de recursos de monitoramento em um único sistema. Desde julho de 2025, especialistas registraram a circulação de quatro versões diferentes: V6.4, V6.5, V7.2 e V7.4. O número de plugins associados também aumentou significativamente, passando de 35 para 46.
As capacidades identificadas pela Netskope incluem:
- Captação de áudio: através do módulo Microphone, o malware transmite sons captados enquanto a vigilância está ativa.
- Rastreamento geográfico: com o uso do Maps, ele obtém coordenadas via GPS e pode recorrer à localização aproximada pelo endereço IP quando necessário.
- Captura visual: os operadores podem monitorar as atividades visuais no dispositivo e requisitar imagens da câmera.
- Controle remoto: o invasor pode enviar comandos diretamente ao navegador ativo, incluindo cliques e movimentos do mouse.
Tais funções operam sem alertar a vítima. Quanto à localização, o malware modifica uma configuração no Windows para acessar as coordenadas sem solicitar autorização ao usuário como normalmente ocorreria.
Vulnerabilidade das contas conectadas
O módulo HBrowser aumenta o risco ao permitir que o criminoso interaja diretamente com o navegador da vítima. O operador pode observar a tela e realizar ações nas páginas abertas como se estivesse utilizando o computador remotamente.
Dessa forma, é possível acessar serviços onde a vítima já está autenticada, sem necessitar descobrir senhas ou iniciar novas sessões. Esse mecanismo também tem potencial para evitar solicitações adicionais de autenticação multifatorial (MFA), que exigem uma confirmação extra além da senha. No entanto, o nível deste acesso depende das proteções implementadas em cada serviço específico.
A propagação do XWorm intensificou-se em 2025 após o vazamento de ferramentas utilizadas para seu desenvolvimento. Uma versão modificada foi divulgada em junho daquele ano; já em agosto, ocorreu o vazamento do código-fonte alterado da versão 6.4. Conforme relatado pela Netskope, houve um aumento nas detecções após essas divulgações, com os números permanecendo elevados em comparação aos períodos anteriores.
Brasil entre os países com maior incidência
Além do Brasil, países como Índia, Itália, Panamá e Estados Unidos apresentam alta atividade relacionada ao XWorm. Os serviços financeiros correspondem a cerca de 35% das organizações afetadas pelo malware.
No mês de setembro de 2026, foram contabilizados 601 eventos de detecção apenas naquele mês, representando quase metade do total trimestral e confirmando que a ameaça continuava ativa durante aquele período.
Caso alguém suspeite estar infectado pelo malware, é recomendado verificar suas contas através de outro dispositivo seguro e examinar o computador comprometido para identificar e remover o software malicioso. Enquanto o XWorm estiver instalado na máquina, os criminosos poderão seguir monitorando as atividades e utilizando as sessões abertas no navegador.
