XWorm
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
XWorm es un malware modular versátil que combina capacidades de acceso remoto, robo de datos, entrega de ransomware y creación de botnets para obtener el control total de los equipos comprometidos.
Cómo llega
XWorm llega a los sistemas mediante notificaciones falsas de tribunales que entregan el malware a través de scripts de Windows ocultos, según reportes de seguridad.
Qué hace una vez dentro
XWorm ejecuta acciones maliciosas como acceso remoto, robo de datos, entrega de ransomware y creación de botnets, permitiendo a los atacantes controlar los sistemas comprometidos.
A quién ataca
Los atacantes utilizan XWorm para comprometer equipos y ejecutar múltiples acciones maliciosas, aunque la evidencia no especifica un sector o grupo de víctimas particular.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Spearphishing Link | T1566.002 |
| Acceso inicial | Spearphishing via Service | T1566.003 |
| Ejecución | Scheduled Task | T1053.005 |
| Ejecución | Command and Scripting Interpreter | T1059 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Malicious Link | T1204.001 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Persistencia | Shortcut Modification | T1547.009 |
| Sigilo | Masquerading | T1036 |
| Sigilo | Right-to-Left Override | T1036.002 |
| Sigilo | Process Injection | T1055 |
| Sigilo | System Binary Proxy Execution | T1218 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Recolección | Data from Local System | T1005 |
| Comando y control | Web Service | T1102 |
| Comando y control | Dead Drop Resolver | T1102.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: AlienVault OTX: técnicas que aparecen en al menos 2 de 6 reportes públicos recientes.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 72 |
| Dominios | 34 |
| URLs | 8 |
| Hashes de archivos | 75 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 12-nov-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
- Malpedia: win.xworm
- AlienVault OTX: XWorm Malware: Worming Its Way From Entry to Exploitation (2026-11-04)
- AlienVault OTX: XWorm Malware: Worming Its Way From Entry to Exploitation (2026-11-04)
- AlienVault OTX: Hackers Use Fake Court Notices to Deliver XWorm Malware Through Hidden Windows Scripts (2026-10-28)
← Todo el catálogo de armamento
