La filtración del código fuente en 2025 convirtió un troyano comercial en una plataforma de vigilancia con 46 módulos y control remoto de navegadores en tiempo real.
Netskope Threat Labs registró 1.236 detecciones de XWorm en el tercer trimestre de 2026, cuatro veces más que en el mismo período de 2025, distribuidas en más de cien organizaciones cliente. El salto no responde a una vulnerabilidad nueva ni a una campaña coordinada: en junio de 2025 se filtró públicamente una versión crackeada del constructor de XWorm, y dos meses después apareció el código fuente completo de la versión modificada 6.4. Desde entonces, el malware dejó de ser una herramienta comercial de nicho para convertirse en una plataforma de vigilancia modular que cualquiera con acceso al código puede adaptar y redistribuir.
Cómo la filtración del constructor multiplicó por siete las detecciones en seis meses
Entre el tercer y cuarto trimestre de 2025, las detecciones de XWorm se cuadriplicaron. En el primer trimestre de 2026 alcanzaron siete veces el nivel previo a la filtración y se mantuvieron en ese rango durante el segundo trimestre. El tercer trimestre de 2026 mostró una caída a 1.236 eventos, pero septiembre solo concentró 601 detecciones, igualando el promedio mensual del pico registrado en la primera mitad del año. Netskope Threat Labs viene siguiendo XWorm desde septiembre de 2024 y documentó cuatro versiones distintas ejecutándose simultáneamente en la naturaleza: V6.4, V6.5 (rebautizada XWorm Reborn), V7.2 y V7.4. Tres de esas versiones aparecieron después de que el generador de malware quedara disponible públicamente.
El número de módulos conocidos creció de 35 a 46. Las nuevas funciones incluyen SteamTokenRecovery (extracción de tokens de autenticación de Steam), Rootkit (persistencia a nivel de kernel), ResetSurvival (recuperación tras reinicio del sistema) y Cmstp-Bypass (evasión del monitoreo de seguridad de Windows mediante la utilidad de instalación de perfiles de conexión). Varias capacidades que habían sido eliminadas en la versión 6.0 fueron reincorporadas en versiones posteriores. Cada iteración introduce cambios incrementales pero funcionales: V6.4 incluye detalles de archivo vinculados al dominio celestialproject.org; V6.5 actualiza la marca a c3lestial.fun, agrega cinco plugins nuevos e introduce un sistema de verificación de licencia integrado en el propio constructor; V7.2 incorpora seis técnicas distintas para evitar ejecutarse en entornos de análisis virtual y disfraza sus metadatos de archivo como el software de modificación de voz Voicemod; V7.4 cambia el sistema de entrega de archivos (dropper), implementa una técnica para eludir el monitoreo de seguridad de Windows y migra a un nuevo canal de comunicación para comandos.
El plugin HBrowser elimina la necesidad de robar contraseñas o eludir MFA
XWorm evolucionó de un infostealer convencional a una plataforma de vigilancia completa. Tres módulos definen esa transformación: Maps (seguimiento de ubicación), Microphone (captura de audio) y HBrowser (control remoto de navegador). HBrowser, disponible desde la versión 6, proporciona al operador una vista en vivo del navegador de la víctima y permite relanzar acciones de mouse, teclado y pegado directamente en la sesión activa. Los comandos viajan por el canal cifrado habitual de XWorm y se ejecutan en la máquina comprometida. Cada pestaña con sesión iniciada permanece accesible para el atacante sin necesidad de extraer credenciales de inicio de sesión ni eludir autenticación multifactor. Netskope señala que el plugin otorga acceso completo a cuentas sin tocar en ningún momento las credenciales almacenadas.
El módulo de seguimiento de ubicación modifica la configuración del sistema Windows para suprimir solicitudes de consentimiento del usuario. Primero ajusta un parámetro del registro para desactivar los avisos de permiso, luego intenta obtener coordenadas GPS precisas en un lapso de quince segundos y las envía al operador. Si el GPS no está disponible, recurre a geolocalización basada en dirección IP. La configuración modificada permanece activa, por lo que futuras solicitudes de ubicación continúan ejecutándose sin intervención del usuario. El módulo Microphone captura audio de cualquier dispositivo conectado a la máquina (el operador selecciona cuál), lo comprime, codifica y cifra en fragmentos de medio segundo, y lo transmite con aproximadamente medio segundo de latencia. El micrófono permanece activo mientras el operador mantenga la sesión abierta. Tanto Maps como Microphone operan sin escalada de privilegios ni indicadores visuales en pantalla.
Por qué el sector financiero concentra el 35% de las víctimas y Brasil aparece en el top cinco de países afectados
Los servicios financieros representan aproximadamente el 35 por ciento de los clientes afectados registrados por Netskope. La actividad se concentra en India, Brasil, Italia, Panamá y Estados Unidos. Brasil aparece como uno de los cinco países con mayor volumen de detecciones en un contexto donde XWorm no requiere infraestructura sofisticada para operar: el código fuente filtrado permite a cualquier actor con conocimientos básicos compilar versiones personalizadas, ajustar módulos según el objetivo y redistribuir el malware sin depender del desarrollador original. La presencia de Brasil en esa lista no responde a un ataque dirigido documentado contra instituciones financieras específicas del país, sino a la exposición estructural del sector en la región frente a una herramienta que ahora circula libremente y que prioriza blancos con sesiones bancarias activas.
La combinación de HBrowser con la concentración en servicios financieros plantea un escenario donde la autenticación multifactor deja de funcionar como barrera una vez que el sistema está comprometido. Si un usuario mantiene sesiones abiertas en plataformas bancarias o de inversión mientras XWorm está activo en segundo plano, el atacante puede operar esas cuentas en tiempo real sin necesidad de interceptar tokens de autenticación ni resolver desafíos de segundo factor. El control remoto del navegador convierte cada pestaña autenticada en un punto de acceso directo. Para organizaciones financieras en América Latina, esto implica que los controles de autenticación perimetral no protegen contra un adversario que ya tiene acceso a la sesión activa del usuario final.
Nuestro análisis
La trayectoria de XWorm replica el patrón observado en otros casos donde la filtración de código fuente transforma una herramienta comercial en un activo de uso generalizado. La diferencia está en la velocidad de adopción: las detecciones se multiplicaron por siete en seis meses, un ritmo que supera lo registrado en filtraciones previas de constructores de malware. El crecimiento sostenido hasta septiembre de 2026 sugiere que el ecosistema de actores que utilizan XWorm no se limita a operadores ocasionales, sino que incluye grupos con capacidad de mantener campañas prolongadas y adaptar el código a objetivos específicos. La reincorporación de módulos eliminados en versiones anteriores y la adición de once nuevas funciones en menos de un año indican desarrollo activo por parte de múltiples actores trabajando sobre el código filtrado en paralelo.
Lo que no está documentado es si alguna de las cuatro versiones en circulación incorpora capacidades de propagación lateral o exfiltración automatizada de datos más allá de los módulos conocidos. Netskope publicó indicadores de compromiso en su repositorio de GitHub y sus sistemas de protección marcan las muestras como Gen:Variant.Application.Lazy y Trojan.Generic, pero esas firmas genéricas no capturan variantes personalizadas que modifiquen la estructura del código base. La pregunta que queda abierta es cuántas versiones no documentadas de XWorm están operando con módulos adicionales que todavía no aparecieron en telemetría pública, y si alguna de esas variantes ya está siendo utilizada en campañas dirigidas contra infraestructura crítica en la región.