| Titre | XWorm RAT « Update » |
| Numéro de Référence | Numéro de Référence 63830505/26 |
| Date de publication | Date de publication 05 mai 2026 |
| Niveau de Risque | Niveau de Risque Critique |
| Niveau d'Impact | Niveau d'Impact Critique |
XWorm est un cheval de Troie d’accès à distance (RAT) basé sur .NET, apparu en 2022, et qui continue d’évoluer avec des mécanismes de diffusion de plus en plus sophistiqués, ciblant principalement les systèmes Windows.
Selon des rapports récents d’avril 2026, plusieurs campagnes utilisent XWorm, notamment via :
des packages npm malveillants,
des emails de phishing contenant des fichiers Excel exploitant la vulnérabilité CVE-2018-0802,
de faux jeux vidéo.
Le malware utilise des techniques avancées comme le process hollowing, permettant d’injecter son code dans des processus légitimes tels que « MSBuild ou Windows Explorer ». Il établit ensuite une communication chiffrée avec ses serveurs de commande et contrôle (C2) à l’aide du chiffrement AES.
Parmi les charges utiles fréquemment associées à XWorm, on retrouve notamment « Agent Tesla et Remcos RAT », ainsi que divers infos stealers. Ces malwares sont souvent déployés en complément pour maximiser l’impact de l’infection, en permettant l’exfiltration de données sensibles telles que les identifiants, les informations bancaires ou encore les données de navigation.
XWorm repose sur une architecture modulaire particulièrement flexible, comprenant des dizaines de plugins capables d’étendre ses fonctionnalités. Cette modularité permet aux attaquants d’adapter le malware à leurs besoins spécifiques, notamment pour le vol de données, le contrôle à distance du système infecté, la surveillance des activités de l’utilisateur, ou encore l’exécution de commandes à distance. Cette approche rend XWorm à la fois polyvalent et difficile à détecter.
La période observée, allant du début mars à la fin avril 2026, met en évidence une recrudescence significative des activités liées à XWorm. Cette augmentation s’inscrit dans un contexte global marqué par des vulnérabilités persistantes dans les chaînes d’approvisionnement (supply chain), une montée en sophistication des campagnes de phishing, ainsi que des attaques de plus en plus ciblées.
Le maCERT recommande d’intégrer les indicateurs de compromission (IOCs) ci-dessous au niveau des moyens de détection et d’alerter le maCERT/DGSSI en cas de détection d’une activité relative à ce malware.
Hashs :
|
Ip :
|
Domains et URL:
|
Référence :
Bulletins de sécurité maCERT/DGSSI du 30 septembre 2024:
Pour signaler tout contenu numérique criminel, incluant atteinte à la sécurité des individus et des groupes, louanges ou incitations au terrorisme, et atteinte aux droits et libertés des enfants, utilisez la plateforme suivante : www.e-blagh.ma
DGSSI2026 All rights reserved
