Restaurar Windows a ajustes de fábrica ya no basta para evitar el espionaje del XWorm actualizado

XWorm sobrevivió a un punto en que un RAT común empezó a comportarse como un sistema de vigilancia de bolsillo. Netskope Threat Labs registró de inmediato cuatro versiones del malware en circulación y 46 complementos. En su arsenal aparecieron grabación oculta de audio, determinación de ubicación, captura de sesiones del navegador y un mecanismo para sobrevivir al restablecimiento de Windows.

La novedad más preocupante recibió el nombre ResetSurvival. Trellix previamente analizó el mecanismo del complemento y determinó que si cuenta con privilegios elevados XWorm coloca sus archivos en C:\Recovery\OEM y crea ResetConfig.xml. Windows ejecuta el archivo BAT preparado después de un restablecimiento normal o de fábrica, tras lo cual el malware vuelve a insertar una copia en el inicio automático y se inicia.

El conjunto de vigilancia también creció notablemente. El complemento Microphone transmite audio en vivo desde el dispositivo de grabación seleccionado, fragmentando el flujo en segmentos de 500 milisegundos. Maps cambia el parámetro de consentimiento de Windows en el registro, obtiene coordenadas sin una solicitud visible y, en ausencia de GPS, recurre a la geolocalización por IP. La cámara web se activa de forma remota por orden del operador, sin necesidad de una herramienta nueva separada.

Un módulo independiente, HBrowser, convierte el navegador ya abierto de la víctima en un entorno de trabajo remoto. El operador ve un flujo continuo de capturas de pantalla, mueve el cursor, escribe texto y accede a las pestañas autorizadas. No es necesario robar contraseñas, por lo que la autenticación multifactor no impide operar con una sesión ya establecida ni exige volver a iniciar sesión en la cuenta.

El aumento de capacidades coincidió con la filtración de herramientas. En junio de 2025 se publicó el builder comprometido de XWorm, y en agosto salió a la luz el código fuente modificado de la versión 6.4. Tras la publicación la actividad se disparó. En el tercer trimestre de 2026 Netskope registró 1236 incidentes en más de 100 organizaciones, cifra cuatro veces superior a la del año anterior.

Tras el informe sobre la versión 6.0 los expertos detectaron las variantes 6.4, 6.5 «XWorm Reborn», 7.2 y 7.4. La compilación 6.5 incorporó ResetSurvival, Rootkit, SteamTokenRecovery, HRDP y Cmstp-Bypass, y versiones posteriores añadieron ofuscación, comprobaciones de máquinas virtuales y nuevos métodos de comunicación con C2. XWorm V7.4 ya se había visto en cadenas donde el cargador ocultaba la carga útil y debilitaba los mecanismos de defensa de Windows.

La filtración del builder y del código fuente dio de hecho a distintos operadores una plataforma común que puede ampliarse con complementos. En el primer trimestre de 2026 el número de detecciones llegó a ser siete veces el nivel de la base original y se mantuvo alto en el segundo trimestre. Aproximadamente el 35% de los clientes afectados de Netskope pertenecen al sector financiero, y se observó actividad notable en India, Brasil, Italia, Panamá y Estados Unidos.