MFAも破るXWorm：盗聴・遠隔操作の監視ツールへ進化｜ブログ(ほぼこもセキュリティニュース)

これまで単なるインフォスティーラー型マルウェアや遠隔操作ツール（RAT）として知られていた XWorm ですが、最新の分析により総合的な「リアルタイム監視プラットフォーム（Surveillance Platform）」へ進化していることが確認されました。

2025年6月に攻撃用ビルダーのクラック版が漏洩し、同年8月にはソースコード（V6.4）が流出したことをきっかけに、亜種の開発と感染活動が急増。2025年第3四半期から2026年第3四半期にかけて検出数は約4倍に増加しており、金融サービス業界（被害の約35%）をはじめ世界各国の組織で被害が確認されています。

今回の進化において特筆すべき新規性は、「MFA（多要素認証）を無力化するリアルタイムセッション制御」および「OSの警告を回避して実行される高度なフィジカル監視機能」の搭載です。
特徴的な部分をみてみましょう。

MFA（多要素認証）を無視する「HBrowser」セッション乗っ取り機能
- 概要・メカニズム
  従来のマルウェアのようにクッキーやパスワードを盗み出すのではなく、被害者が端末上ですでにログイン済みのブラウザセッションを直接かつリアルタイムに遠隔操作（対話型制御）します。
- 新規性・インパクト
  攻撃者はC2サーバを介して連続したスクリーンショットを受け取りながら、マウス・キーボードの入力をそのままアクティブなブラウザタブに送信します。
  ログイン処理自体を行わないため、多要素認証（MFA）による保護を完全にバイパスして社内システムやWebサービスへアクセスを許してしまいます。
静音（サイレント）GPS位置情報トラッキング（Mapsプラグイン）
- 概要・メカニズム
  一般的にWindows上で位置情報（GPS）を利用する際はOSによるユーザへのアクセス許可ダイアログが表示されますが、MapsプラグインはAPIを呼ぶ直前にレジストリ（CapabilityAccessManager）を書き換え、許可ステータスを強制的に Allow に書き換えます。
- 新規性・インパクト
  ユーザに警告ポップアップを一切表示させることなく端末の正確なGPS座標を取得します。
  GPS非搭載端末の場合はIPアドレスベースのジオロケーションにフォールバックする永続的な追跡ロジックも備えています。
盗聴を目的とした暗号化音声ストリーミング（Microphoneプラグイン）
- 概要・メカニズム
  NAudio ライブラリを用いて端末のマイクから音声をキャプチャし、500ミリ秒単位のバッファで圧縮・AES-128-ECB暗号化を行ってC2サーバへ常時送信します。
- 新規性・インパクト
  権限昇格や通知なしで動作し、約0.5秒という極めて低いレイテンシー（遅延）で実質的な盗聴（ライブ音声ストリーミング）を実行します。
  会議や日常の会話データが即座に攻撃者へ送信される危険性があります。
4つの新バージョンとプラグイン拡張（計46種類）
- 概要・メカニズム
  V6.4、V6.5（通称：XWorm Reborn）、V7.2、V7.4 という複数の最新バージョンが並行して観測されています。
  プラグイン数は従来の35種類から46種類へと大幅に増加しました。
- 新規性・インパクト
  ルートキット機能、セキュリティ対策回避（Cmstp-Bypass）、OS再起動後の生存維持（ResetSurvival）などの追加に加え、難読化技術（Xerin）やアンチVM（仮想環境検知）機能を多重化することで、解析や検知を困難にさせる堅牢性を高めています。

今回確認されたXWormの進化は、マルウェア感染が起きた際の被害範囲が「過去のデータ漏洩」にとどまらず、「現在のリアルタイムな操作・会話・位置の傍受」に直結することを意味しています。

推奨される対策はこういったものです。

感染端末の即時隔離と対話型侵害前提の対応
XWorm検知時は単なるファイルの削除で終わらせず、攻撃者がリアルタイム操作を行っていた前提でインシデント対応を実施してください。
アクティブセッションの強制終了とパスワードリセット
MFAのみに依存せず、感染が疑われる端末でログインしていたWebサービス・社内システムのアクティブセッションを管理者側から即座に切断し、別の健全な端末から認証情報をリセットしてください。
レジストリや不審な子プロセスの監視（EDR）
EDR等を用いて、不審なプロセスによる CapabilityAccessManager レジストリ変更の検知や、XWorm（.NET系プロセス）およびそこから生成される不審な子プロセス（PowerShellやcmd.exe等）・外部通信挙動を監視・ブロックするルールを強化してください。