XWorm RAT nâng cấp thành nền tảng giám sát người dùng toàn diện

XWorm RAT đang có bước chuyển mình đáng lo ngại: từ một công cụ chiếm quyền điều khiển máy tính đơn thuần, nó đã trở thành một nền tảng giám sát toàn diện với khả năng theo dõi vị trí, nghe lén âm thanh và điều khiển trực tiếp các phiên trình duyệt đã đăng nhập.

Mã độc lây nhiễm trên máy tính người dùng

Theo báo cáo mới nhất từ hãng bảo mật Netskope, các nhà phát triển của XWorm đã liên tục mở rộng bộ plugin của mã độc này. Cụ thể, số lượng plugin tăng từ 35 plugin vào tháng 7/2025 lên tới 46 plugin vào tháng 10/2026, trong đó nhiều plugin được thiết kế rõ ràng cho mục đích giám sát.

Từ RAT truyền thống đến nền tảng do thám

XWorm là một RAT (Remote Access Trojan) đa chức năng trên Windows, lần đầu được phát hiện vào năm 2022. Ban đầu, nó cung cấp cho kẻ tấn công khả năng kiểm soát toàn bộ hệ thống bị nhiễm: ghi nhật ký bàn phím (keylogging), chụp ảnh màn hình, truy cập webcam và thực thi mã độc từ xa.

Tuy nhiên, các plugin mới đã đẩy khả năng của XWorm lên một tầm cao mới:

• Plugin Maps: Xác định vị trí GPS của nạn nhân mà không cần bất kỳ lời nhắc hay cảnh báo nào.
• Plugin Microphone: Phát trực tiếp âm thanh từ thiết bị của nạn nhân về máy chủ của kẻ tấn công.
• Plugin HBrowser: Chiếm quyền điều khiển các phiên trình duyệt đã xác thực mà không cần đánh cắp thông tin đăng nhập.
• Webcam capture: Ghi hình qua webcam theo yêu cầu.

"Plugin Maps cung cấp vị trí GPS của nạn nhân mà không cần người dùng phản hồi. Plugin Microphone phát trực tiếp âm thanh từ thiết bị của nạn nhân. HBrowser chiếm quyền điều khiển các phiên trình duyệt đã xác thực mà không cần chạm vào thông tin đăng nhập, qua đó vượt qua hoàn toàn MFA" — Netskope cho biết.

HBrowser — mối đe dọa vượt qua xác thực đa yếu tố

Điểm đáng chú ý nhất trong đợt nâng cấp này là plugin HBrowser. Trước đây, các RAT thường chỉ dừng lại ở việc thu thập thông tin đăng nhập và dữ liệu người dùng từ trình duyệt. Nhưng với HBrowser, kẻ tấn công có được góc nhìn thời gian thực về trình duyệt của nạn nhân và có thể truyền lệnh nhập liệu trực tiếp vào đó.

Cơ chế hoạt động được Netskope mô tả như sau: các tương tác của kẻ điều khiển được mã hóa thành lệnh C&C (Command and Control), truyền qua kênh liên lạc mã hóa AES tiêu chuẩn của XWorm rồi thực thi trên máy nạn nhân.

Máy nạn nhân nhận lệnh và thực hiện thao tác tương ứng trên cửa sổ trình duyệt đang hoạt động. Đổi lại, kẻ tấn công nhận được luồng ảnh chụp màn hình liên tục. Dưới góc nhìn của kẻ điều khiển, đây là một phiên trình duyệt từ xa hoàn chỉnh — mọi tab đã đăng nhập đều có thể truy cập được mà không cần đăng nhập lại hay đối phó với MFA.

Cảnh báo về các cuộc tấn công mạng gia tăng

Hoạt động gia tăng sau khi mã nguồn bị rò rỉ

Theo Netskope, các hoạt động liên quan đến XWorm đã gia tăng mạnh kể từ khi một phiên bản builder bị crack được phát tán công khai vào tháng 6/2025, và mã nguồn của phiên bản RAT 6.4 bị rò rỉ vào tháng 8/2025.

Chỉ riêng trong quý 3 năm nay, Netskope đã ghi nhận hơn 1.200 sự cố tấn công nhắm vào 100 tổ chức khác nhau. Con số này cho thấy mức độ nguy hiểm và phạm vi ảnh hưởng ngày càng rộng của mã độc này.

Đáng chú ý, cả plugin Maps lẫn Microphone đều cho phép kẻ điều khiển theo dõi vị trí và thu âm mà không cần nâng quyền và không kích hoạt bất kỳ cảnh báo nào cho người dùng. Điều này khiến nạn nhân gần như không thể phát hiện ra mình đang bị theo dõi.

Rủi ro với người dùng và doanh nghiệp Việt Nam

Với người dùng và doanh nghiệp tại Việt Nam, sự tiến hóa của XWorm đặt ra nhiều lo ngại thực tế:

• Mất kiểm soát quyền riêng tư hoàn toàn: Vị trí, âm thanh xung quanh và hình ảnh webcam đều có thể bị thu thập mà người dùng không hề hay biết.
• Vượt qua MFA: Nhiều doanh nghiệp Việt Nam đang triển khai MFA như lớp bảo vệ quan trọng, nhưng HBrowser cho thấy lớp bảo vệ này có thể bị vô hiệu hóa nếu thiết bị đầu cuối đã bị nhiễm mã độc.
• Rủi ro tài chính: Với khả năng điều khiển phiên ngân hàng trực tuyến đã đăng nhập, kẻ tấn công có thể thực hiện giao dịch mà không cần thông tin đăng nhập.

"XWorm tiếp tục tiến hóa và giờ đây đã bổ sung các khả năng giám sát. Kể từ khi builder và mã nguồn bị rò rỉ, chúng tôi dự đoán công cụ này sẽ còn tiếp tục được nâng cấp và sử dụng rộng rãi" — Netskope nhận định.

Khuyến nghị phòng ngừa

Để giảm thiểu rủi ro từ XWorm và các RAT tương tự, các chuyên gia bảo mật khuyến nghị:

• Cập nhật hệ điều hành và phần mềm thường xuyên, đặc biệt là các bản vá bảo mật cho Windows.
• Không tải và chạy các tệp tin từ nguồn không tin cậy, đặc biệt là các tệp đính kèm email hoặc liên kết lạ.
• Sử dụng phần mềm bảo mật uy tín có khả năng phát hiện hành vi bất thường, không chỉ dựa trên chữ ký mã độc.
• Triển khai giải pháp EDR/XDR cho môi trường doanh nghiệp để giám sát và phát hiện các hành vi đáng ngờ theo thời gian thực.
• Kiểm tra quyền truy cập của ứng dụng trên thiết bị, đặc biệt là quyền truy cập micro, camera và vị trí.

Sự tiến hóa của XWorm là lời nhắc nhở rằng các mối đe dọa mạng ngày càng tinh vi và khó phát hiện hơn. Với sự hỗ trợ của trí tuệ nhân tạo và các công cụ tự động hóa, kẻ tấn công có thể nhanh chóng tùy biến mã độc cho từng mục tiêu cụ thể. Việc xây dựng chiến lược phòng thủ nhiều lớp, kết hợp giữa công nghệ và ý thức người dùng, trở nên cấp thiết hơn bao giờ hết.