マルウェア「XWorm」が、情報窃取にとどまらない脅威へと進化しています。攻撃者はログイン済みのブラウザセッションを操作できるほか、マイクやWebカメラ、位置情報にもアクセスできるようになりました。
NetskopeのThreat Labsのレポートによると、同マルウェアの「HBrowser」プラグインを使えば、攻撃者はパスワードを盗んだり多要素認証（MFA）を突破したりしなくても、感染端末上で認証済みのアカウントをそのまま利用できます。
研究者らは、2026年第3四半期に100社を超える顧客組織で1,236件の検知イベントを記録しました。これは2025年第3四半期と比べて4倍の増加です。
影響を受けた顧客の約35%は金融サービス業界でした。活動はインド、ブラジル、イタリア、パナマ、米国に集中していました。
この増加の背景には、2025年6月にクラック版のビルダーが公開されたことと、8月にバージョン6.4の改変版ソースコードが公開されたことがあります。これらの公開によってツールキットの入手が容易になり、検知件数は以前の水準を上回り続けています。
バージョン6以降で利用できるHBrowserプラグインは、攻撃者に被害者のブラウザをリアルタイムで操作できる画面を提供します。オペレーターはマルウェアの管理パネルでブラウザを選択し、感染マシンにOpenBrowserコマンドを送信します。
接続後、攻撃者はキーボード入力、マウスクリック、カーソル移動、スクロール操作、テキストの貼り付けを送信できます。被害者の端末はこれらの操作を実行し、スクリーンショットを継続的に返送します。
コマンドは、XWormのAES暗号化されたコマンド＆コントロール（C2）チャネルを通じてやり取りされます。これにより、攻撃者が被害者の既存のアクセス権を使ってリモートでブラウジングするセッションが成立します。
ここで重要なのは、HBrowserが MFA認証 のプロセスそのものを破るわけではないという点です。正規ユーザーがすでに認証を完了したセッションを悪用するのです。
そのため、アクセス可能な認証済みタブがあれば、再ログインを求められることなくアカウントが危険にさらされます。Netskopeは、2025年7月のレポート以降に出回っている4つのバージョンを確認しました。V6.4、V6.5「XWorm Reborn」、V7.2、V7.4です。
V6.5では、Rootkit、SteamTokenRecovery、HRDP、Cmstp-Bypass、ResetSurvivalの各プラグインが導入され、KeyAuthによるライセンス管理も追加されました。
V7.2ではネイティブコードの難読化と6種類の仮想マシン対策技術が加わりました。V7.4にはXBinderドロッパー、NTdll.dllのアンフック、LocaltoNetを使ったC2接続が組み込まれています。
確認されたプラグイン数は35から46に増え、XWormの機能は認証情報の窃取にとどまらず拡大しています。
Mapsプラグインは、位置情報を要求する前に、現在のユーザーのWindows位置情報許可のレジストリ設定を「Allow」に変更します。分析によると、これにより許可を求める画面が表示されません。
その後、タイムアウト15秒でGeoCoordinateWatcher.TryStartを呼び出し、取得できた座標をオペレーターに送信します。GPS情報が得られない場合は、IPアドレスに基づく位置情報にフォールバックします。レジストリの変更は、最初の書き換え後も維持されます。
Microphoneプラグインは、NAudioのWaveInEventを使って、選択した録音デバイスから音声を取得します。まずC2チャネルを通じて利用可能なデバイスを一覧表示すると、Netskopeは述べています。
注： IPアドレスやドメインは、誤って名前解決やハイパーリンク化が行われるのを防ぐため、意図的に無害化（[.]など）しています。元に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。 チームで試してみる
翻訳元: https://cyberpress.org/xworm-hijacks-authenticated-sessions/
