O XWorm, malware que transforma computadores infectados em ferramentas de espionagem, está ativo no Brasil e pode captar conversas pelo microfone, rastrear a localização e capturar imagens da webcam. O programa também permite que criminosos controlem sessões do navegador e acessem contas já conectadas.
O Netskope Threat Labs registrou 1.236 eventos de detecção no terceiro trimestre de 2026, quatro vezes o volume do mesmo período de 2025. O levantamento aponta a expansão das capacidades do malware e a permanência da ameaça após o vazamento de ferramentas usadas para criá-lo.
Como o XWorm espiona as vítimas
O malware reúne diferentes recursos de monitoramento em um único programa. Desde julho de 2025, pesquisadores identificaram quatro versões em circulação: V6.4, V6.5, V7.2 e V7.4. O número de plugins associados à ferramenta também cresceu, passando de 35 para 46.
Entre as funções identificadas pela Netskope estão:
- Captação de áudio: o módulo Microphone transmite o som captado pelo dispositivo enquanto a sessão de monitoramento permanece ativa.
- Rastreamento de localização: o Maps obtém coordenadas por GPS e recorre à localização aproximada pelo endereço IP quando necessário.
- Captura de tela e webcam: o operador pode acompanhar a atividade visual do dispositivo e solicitar imagens da câmera.
- Controle remoto: o invasor consegue enviar comandos ao navegador ativo, incluindo cliques, movimentos do cursor e digitação.
Essas funções podem operar sem avisos visíveis à vítima. No caso da localização, o malware altera uma configuração do Windows para obter acesso às coordenadas sem exibir a solicitação de autorização normalmente apresentada ao usuário.
Contas conectadas também ficam vulneráveis
O módulo HBrowser amplia o risco ao permitir que o criminoso interaja diretamente com o navegador da vítima. O operador acompanha a tela e executa ações nas páginas abertas, como se estivesse usando o computador remotamente.
Na prática, isso pode dar acesso a serviços nos quais a vítima já está autenticada, sem que o invasor precise descobrir a senha ou iniciar uma nova sessão. O mecanismo também pode evitar uma nova solicitação de autenticação multifator (MFA), que acrescenta uma confirmação à senha. O alcance desse acesso depende, porém, das proteções aplicadas a cada serviço.
A disseminação do XWorm ganhou força em 2025, após o vazamento de ferramentas de desenvolvimento do malware. Uma versão adulterada do construtor foi publicada em junho daquele ano; em agosto, o código-fonte modificado da versão 6.4 também vazou. Segundo a Netskope, as detecções cresceram após essas divulgações e permaneceram acima dos níveis anteriores.
Brasil está entre os países com mais detecções
Além do Brasil, Índia, Itália, Panamá e Estados Unidos estão entre os países com maior concentração de atividade do XWorm. Os serviços financeiros representam aproximadamente 35% das organizações clientes afetadas.
Somente em setembro de 2026, foram registrados 601 eventos de detecção. O número corresponde a quase metade do total trimestral e mostra que o malware continuava ativo no período analisado.
Quem suspeitar de uma infecção deve verificar suas contas por meio de outro dispositivo confiável e investigar o computador comprometido para identificar e remover o programa. Enquanto o XWorm permanecer instalado, os criminosos poderão continuar monitorando o ambiente e usando sessões abertas no navegador.
Valdir Antonelli é jornalista com especialização em marketing digital e consumo.
Meridiano
