پلاگین HBrowser در بدافزار XWorm به عامل تهدید (threat actor) این امکان را می‌دهد تا کنترل تعاملی نشست‌های (sessions) احراز هویت شده در مرورگرهای سیستم‌های عفونی را در دست بگیرد. این قابلیت به مهاجم اجازه می‌دهد بدون نیاز به سرقت رمز عبور یا گذراندن چالش‌های احراز هویت چندعاملی (MFA)، مستقیماً با حساب‌های کاربر کار کند.
گسترش حملات و اهداف
تحلیل‌ها نشان می‌دهد که در سه ماهه سوم سال ۲۰۲۶، تعداد ۱,۲۳۶ مورد شناسایی XWorm در بیش از ۱۰۰ سازمان مختلف ثبت شده است که این رقم چهار برابر بیشتر از بازه زمانی مشابه در سال ۲۰۲۵ است. بخش خدمات مالی با ۳۵٪ از کل موارد، بیشترین آسیب را دیده و تمرکز حملات بر کشورهایی نظیر هند، برزیل، ایتالیا، پاناما و ایالات متحده بوده است.
مکانیزم فنی عملکرد HBrowser
این پلاگین که از نسخه ۶ XWorm معرفی شده، به اپراتور اجازه می‌دهد از طریق پنل کنترل بدافزار، مرورگر هدف را انتخاب کند. فرآیند اجرا به شرح زیر است:
- ارسال دستور
OpenBrowserشامل شناسه مرورگر و ابعاد صفحه نمایش از طریق کانال فرمان و کنترل (C2). - اجرای ورودی‌های ارسالی در سیستم قربانی و بازگرداندن مداوم اسکرین‌شات‌ها برای ایجاد یک جلسه مرور وب تعاملی و از راه دور.
- انتقال دستورات مربوط به کلیک‌های موس، حرکات مکان‌نما، اسکرول و متون کپی شده در کلیپ‌بورد.
- استفاده از کدگذاری base64 برای داده‌های کیبورد و کلیپ‌بورد و رمزنگاری AES برای ارتباطات C2.
دور زدن منطقی MFA
نکته حیاتی در مورد HBrowser این است که این ابزار رمزنگاری MFA را نمی‌شکند یا فرآیند تأیید اولیه را دور نمی‌زند، بلکه از دسترسی‌هایی که قبلاً توسط کاربر قانونی ایجاد شده است، سوءاستفاده می‌کند. تب‌های باز و احراز هویت شده در مرورگر برای مهاجم در دسترس قرار می‌گیرند و نیاز به ورود مجدد را از بین می‌برند.
تبدیل به پلتفرم نظارتی جامع
تحقیقات جدید نشان می‌دهد XWorm از یک بدافزار سرقت اطلاعات ساده به یک پلتفرم نظارتی گسترده تبدیل شده است که قابلیت‌های زیر را ترکیب می‌کند:
- ردیابی موقعیت مکانی: پلاگین Maps با تغییر در رجیستری
CapabilityAccessManager، رضایت کاربر برای دسترسی به مکان را دور زده و مختصات را دریافت می‌کند. - دسترسی به میکروفون: با استفاده از
NAudio، صداها را در بافرهای ۵۰۰ میلی‌ثانیه‌ای ضبط کرده، فشرده‌سازی gzip انجام داده و به صورت رمزنگاری شده ارسال می‌کند. - تسخیر وب‌کم: امکان ثبت تصاویر زنده از محیط کاربر.
تکامل نسخه‌ها و تکنیک‌های پنهان‌سازی
در حال حاضر چهار نسخه (V6.4, V6.5, V7.2, V7.4) به طور همزمان در گردش هستند. تغییرات جدید شامل استفاده از لایسنس KeyAuth، ابهام‌زایی (obfuscation) کد بومی، بررسی‌های ضد ماشین مجازی (anti-VM)، استفاده از دراپِر XBinder و تکنیک‌های NTdll.dll unhooking برای دور زدن ابزارهای امنیتی است.
