Yeni Xworm V6 Varyant, kötü amaçlı kodu güvenilir Windows uygulamalarına yerleştirir

Sürekli gelişen siber tehdit dünyasında, bilgilendirilmiş kalmak sadece bir avantaj değildir; Bu bir zorunluluktur. İlk olarak 2022’de gözlemlenen Xworm, siber suçlulara kötü niyetli aktiviteler için çok yönlü bir araç seti sağlayan son derece etkili bir kötü amaçlı yazılım olarak hızla kötü şöhret kazandı.

Xworm’un modüler tasarımı, çekirdek bir istemcinin ve eklentiler olarak bilinen bir dizi özel bileşen etrafında inşa edilmiştir. Bu eklentiler, temel kötü amaçlı yazılım etkin olduğunda belirli zararlı işlemler yapmak için tasarlanmış ek yüklerdir.

Bu modülerlik, saldırganların veri hırsızlığı ve sistem kontrolünden kalıcı sürveyansa kadar çeşitli hedefler için Xworm’un yeteneklerini kullanmalarını sağlar.

Bu eklentileri anlamak, bu tür yaygın tehditlere karşı korumalarını geliştirmek isteyen siber güvenlik ürünlerinin kuruluşlarını ve müşterilerini koruyan siber güvenlik uzmanları için çok önemlidir.

Trellix Arc, son yeniden canlanması da dahil olmak üzere Xworm’un evrimi yakından gözlendi. Bu blogda, Xworm V6.0’ı dağıtan bir kampanyayı keşfetmek ve daha da önemlisi, kalıcılık komut dosyası da dahil olmak üzere anahtar eklentileri ve ek yükleri incelemek için yüzeyin ötesine geçeceğiz.

Terk’den kaosa

Xworm’un “Xcoder” liderliğindeki gelişimi, Telegram aracılığıyla paylaşılan düzenli güncellemeler gördü. 2024’ün sonlarında, Xworm V5.6’nın piyasaya sürülmesinden sonra, Xcoder hesaplarını sildi, resmi desteği sona erdirdi ve V5.6’yı varsayılan son sürüm olarak bıraktı.

Sonrasında, tehdit aktörleri, farkında olmayan operatörleri enfekte eden Truva atları ile bağlanmış Cracked V5.6 inşaatçılarını dağıttı. CloudSek ve DMPDump’ın raporları, XSPY adında bir Çince dalı ortaya çıkarken, yapımcıları ve değiştirilmiş dağıtımları detaylandırdı.

V5.6’da kritik bir uzaktan kumanda yürütme güvenlik açığının açıklanmasından ek bir darbe geldi ve C2 şifreleme tuşuna sahip saldırganların laboratuvarlarda doğrulanmış bir istismar – keyfi kod yürütmesini sağladı.

Xworm’un öldüğüne inanan birçok profesyonel başka bir yere dikkat çekti, ancak kötü amaçlı yazılım emekliliği nadiren kalıcı.

4 Haziran 2025’te hackforums.net, “XCodertools” dan Xworm V6.0’ı duyuran ve RCE kusuru ve diğer geliştirmeler için düzeltmeler talep eden bir yazı gördü.

Şüphecilik yükseldi: Xcodertools gerçek yazar mı yoksa Xworm’un itibarını mı sürüyordu? İki telgraf kanalı – biri güncellemeler için, biri tartışma için – kaynaklandı, ancak tekrar tekrar yasaklandı, operatörleri sinyali yansıtmaya itti.

Topluluk videoları yeni özellikler sergiliyor, ancak v6.0’ın meşruiyeti inceleme altında kalıyor. Serbest bırakılmasından bu yana, Xworm V6.0’ın Virustotal tespiti, hızlı tehdit aktörünün benimsenmesini vurguladı.

Enfeksiyon zinciri ve eklenti cephaneliği

Önde gelen bir V6.0 kampanyası, iyi huylu bir PDF yemini görüntülerken bir PowerShell komut dosyasını indiren ve yürüten kötü amaçlı bir JavaScript dosyasıyla başlar.

PowerShell bileşeni, AMSI’yi algılamayı önlemek için devre dışı bırakır, Xworm istemcisini ve bir DLL enjektörünü getirir ve bunları gizli konuşlandırmaya hazırlar.

Enjektör, Xworm’un kodunu regsvcs.exe gibi meşru Windows programlarına yerleştirerek gizli yürütmeyi etkinleştirir.

Etkin olduktan sonra, istemci 94’te C2’ye bağlanır[.]159[.]113[.]64: 4411 yeni bir varsayılan anahtar kullanarak (“<666666>“Vs.”<123456789>”V5.6’da). Çekirdek işlevsellik v5.6’yı yansıtıyor, ancak v6.0, HKCU \ Software kapsamında kayıt defteri girişlerinden yükleyen ILProtector paketli eklentileri tanıtıyor..

Operatörler SHA-256 Hash’in “eklenti” komutları veriyor; Eklentiler “SendPlugin” iş akışını tetikler. Yüklü eklentiler uzak masaüstü, kimlik bilgisi hırsızlığı, dosya yönetimi, kabuk yürütme, başlangıç ​​numaralandırması, TCP kontrolü, web kamerası akışı ve fidye yazılımlarını destekler.

Dikkate değer yükler arasında remotedesktop.dll, stealer.dll, filemanager.dll, shell.dll ve ransomware.dll bulunur. İkincisi, istemci kimliğinin bir SHA-512 karması ile anahtarlanmış AES-CBC dosyalarını şifreler, fidye notlarını ve duvar kağıtlarını bırakır ve şifreleme durumunu izlemek için kayıt defteri bayraklarını ayarlar.

Şifre çözme bu işlemi yansıtır. V6’nın eklenti sayısı 35’i aşıyor ve köklü kurulum için ek modüller ve sızdırılmış V6.4 inşaatçılarında fabrika-reset kalıcılığı.

Kalıcılık ve gelişen tehdit

VBS veya .WSF Dosyaları aracılığıyla teslim edilen kalıcılık komut dosyaları, yeniden yüklemelerde hayatta kalmak için push-button sıfırlamaları için zamanlanmış görevler, kayıt defteri çalıştırma anahtarları ve hatta resetconfig.xml oluşturur.

Operatörler, oturum açma komut dosyalarından yönetici düzeyindeki fabrika sıfırlama kancalarına kadar dört farklı kalıcılık yönteminden yararlanır.

Cracked V6 inşaatçıları, enfekte inşaatçıları daha da dağıtıyor ve inşaatçıların kendilerinin kötü amaçlı yazılımları barındırdığı kendi kendini tanıtan bir riski vurguluyor.

Xworm V6’nın geri dönüşü, hiçbir kötü amaçlı yazılım tehdidinin gerçekten emekli olmadığının altını çiziyor. Modüler eklenti mimarisi ve gelişmiş enjeksiyon teknikleri, imza tabanlı önlemenin ötesinde savunmalar gerektirir.

Çok katmanlı bir duruş esastır: anormal süreç enjeksiyonlarını yakalamak için uç nokta tespiti ve yanıt; ilk damlalıkları engellemek için proaktif e -posta ve web ağ geçitleri; ve C2 iletişimini tespit etmek için sürekli ağ izleme. Bu dinamik tehdit manzarasında, çevik, davranış odaklı güvenlik platformları, rakiplerden bir adım önde kalmanın zorunludur.

IOC

İşte tablo biçiminde sunulan veriler:

Anında güncellemeler almak ve GBH’yi Google’da tercih edilen bir kaynak olarak ayarlamak için bizi Google News, LinkedIn ve X’te takip edin.