Netskope advierte de la evolución de XWorm: del robo de datos a la vigilancia remota
Las detecciones se cuadruplican en un año: 1.236 eventos en más de 100 organizaciones durante el tercer trimestre de 2026
El malware permite controlar sesiones de navegador autenticadas y acceder a micrófonos, cámaras y datos de ubicación
Madrid, 14 de octubre de 2026 – Netskope Threat Labs ha detectado una nueva fase en la evolución de XWorm, un malware que ha pasado de centrarse en el robo de información a convertirse en una plataforma de vigilancia y control remoto. En el tercer trimestre de 2026, Netskope registró 1.236 detecciones en más de 100 organizaciones clientes, cuatro veces más que en el mismo periodo de 2025.
El sector financiero concentra cerca del 35% de los clientes afectados. La actividad se concentra sobre todo en India, Brasil, Italia, Panamá y Estados Unidos. La filtración pública de la herramienta de creación de XWorm 6.4, a mediados de 2025, provocó un aumento inicial de las detecciones, que desde entonces se mantienen por encima de los niveles previos.
«La evolución de XWorm demuestra que los atacantes ya no solo buscan robar información, sino también conservar el control del dispositivo y aprovechar los accesos del usuario para vigilar su actividad y actuar desde sus cuentas», señala el equipo de Netskope Threat Labs.
Control de cuentas sin volver a iniciar sesión
HBrowser es una de las funciones más destacadas: este complemento permite a los atacantes interactuar con el navegador del equipo infectado. Pueden ver la sesión, escribir, hacer clic y desplazarse por las páginas mientras aprovechan el acceso ya concedido al usuario legítimo.
La técnica no vulnera la autenticación multifactor, sino que aprovecha sesiones en las que la verificación ya se ha completado. De este modo, los atacantes pueden actuar en cuentas abiertas sin introducir de nuevo las credenciales ni superar otra comprobación de identidad.
«La autenticación multifactor sigue siendo esencial, pero una sesión ya autenticada puede quedar expuesta si el dispositivo está comprometido. Esto refuerza la necesidad de proteger tanto el acceso a las cuentas como el entorno desde el que se utilizan», explica el equipo de Netskope Threat Labs.
Más capacidades de vigilancia y ocultación
El análisis confirma que los complementos de XWorm han aumentado de 35 a 46. Entre sus funciones figuran el acceso a micrófonos y cámaras y la obtención de datos de ubicación. El complemento Maps puede cambiar la configuración de consentimiento de Windows para solicitar las coordenadas del equipo sin mostrar un aviso y, si no hay datos GPS, utilizar la geolocalización basada en la dirección IP.
Las cuatro versiones identificadas —6.4, 6.5, 7.2 y 7.4— evidencian una evolución constante. Las variantes más recientes añaden funciones de ocultación, técnicas para detectar entornos virtualizados y nuevas vías de comunicación con la infraestructura de los atacantes. Estas mejoras incrementan el control sobre los equipos infectados y complican su análisis.
Netskope Threat Labs empezó a informar sobre XWorm y su cadena de infección en septiembre de 2024, y documentó las funciones de la versión 6.0 en julio de 2025. El seguimiento posterior revela una amenaza que combina robo de información, acceso remoto, vigilancia y uso de sesiones autenticadas.
