XWorm: a anatomia do RAT modular que o grupo BREEZE COMET usa contra bancos brasileiros

O que você vai aprender neste artigo: o que é o XWorm, um remote access trojan (RAT) — programa malicioso que dá acesso remoto total à máquina infectada — que virou commodity no cibercrime; como ele se comunica com o servidor de comando e controle (C2), quais plugins carrega em memória e por que ele aparece como backdoor nas campanhas do grupo BREEZE COMET contra instituições financeiras brasileiras. Você também vai ver um passo a passo de análise do malware — do ambiente isolado à extração de configuração — e as defesas práticas para detectar e conter uma infecção.

Pré-requisitos

Para acompanhar a análise, você vai precisar de:

• Conhecimento básico de análise de malware e do ecossistema Windows: registro, processos, binários .NET e a suíte Sysinternals.
• Wazuh, o SIEM open source que vamos usar para transformar a análise em regras de detecção e correlação.
• pestudio, ferramenta de análise estática de binários Windows que revela seções, imports e entropia sem executar o arquivo.
• Um ambiente isolado: máquina virtual com snapshots, rede simulada e captura de tráfego com Wireshark ou tcpdump.
• Opcional: uma sandbox pública como ANY.RUN (serviço de análise automatizada de malware em nuvem) e o motor de regras YARA.

Passo a passo: analisando um espécime do XWorm

O primeiro passo é preparar o ambiente de análise. Use uma VM Windows sem dados sensíveis, tire um snapshot limpo e configure a captura de tráfego na interface de rede antes de executar qualquer coisa. O objetivo é responder a três perguntas: o que o binário faz, com quem ele fala e como ele se mantém na máquina. Sem um ponto de restauração e sem o registro de rede, você perde a maior parte da evidência.

Em seguida, partimos para a análise estática com o pestudio. Abra o binário e examine o cabeçalho do PE (Portable Executable, o formato executável do Windows): verifique a compilação, as seções e os imports. O XWorm é escrito em .NET, então espere imports de mscorlib e um manifesto que denuncie o runtime. Preste atenção à entropia das seções — valores acima de 7,0 indicam conteúdo cifrado ou comprimido, típico de payload empacotado — e rode a extração de strings. Em amostras reais, é comum encontrar ali os nomes dos comandos de plugin, como sendplugin e RemovePlugins, além de URLs e portas em texto claro:

# Extrai strings em UTF-16 (padrão do .NET) e filtra indícios de configuração
strings -el sample_xworm.exe | grep -iE "plugin|http|port|key|666666"
 
# Inspeciona o cabeçalho e as seções do PE
objdump -p sample_xworm.exe | head -60

Depois, a análise dinâmica. Execute a amostra na VM e observe com o Process Monitor e o Process Explorer o que ela cria: arquivos em %APPDATA% e %TEMP%, chaves de registro de persistência em Run e RunOnce, tarefas agendadas e atalhos em pastas de inicialização. O XWorm costuma se copiar para um local persistente disfarçado de arquivo de sistema e registrar um identificador de cliente no registro, em HKCU\SOFTWARE<Client ID>. Repare também se o malware desativa o AMSI (Antimalware Scan Interface, a API que expõe conteúdo malicioso às defesas do Windows) e se injeta código em processos legítimos — o process hollowing, que substitui a imagem de um processo válido pela do malware, é uma assinatura clássica desta família.

Na sequência, analise o tráfego de rede capturado. O XWorm abre uma conexão TCP direta com o C2, quase sempre em porta não padrão, e envia um pacote de registro cifrado — a análise do FortiGuard Labs documenta esse handshake e a troca de comandos. Se a amostra vier desempacotada e você tiver a chave de cifra (as versões v5.6 e v6 usavam chaves padrão conhecidas, <123456789> e <666666> respectivamente), é possível decodificar o tráfego com o Wireshark e observar os comandos trafegando:

# Captura o tráfego da VM isolada para análise posterior
sudo tcpdump -i eth0 -n host 192.0.2.10 -w xworm.pcap

Por fim, consolide a análise escrevendo regras de detecção. Com o YARA, você cria uma assinatura baseada nas strings e no formato do arquivo; com o Wazuh, converte os comportamentos observados — criação de tarefa agendada, escrita em chave Run, spawn de processos inesperados — em regras de correlação que alertam a equipe em produção. Um exemplo didático de regra YARA:

rule M_Backdoor_XWorm_Generic {
    meta:
        author = "Zero Day Security"
        description = "Regra genérica educacional para binários associados ao XWorm"
    strings:
        $s1 = "sendplugin" ascii wide
        $s2 = "RemovePlugins" ascii wide
        $s3 = "savePlugin" ascii wide
        $s4 = "XWorm" ascii wide
        $s5 = "Lime" ascii wide
    condition:
        uint16(0) == 0x5A4D and filesize < 10MB and 3 of them
}

Explicação técnica: protocolo, comunicação e módulos

Para entender por que o XWorm se tornou o RAT mais popular do submundo, é preciso olhar para a arquitetura dele: um cliente leve escrito em .NET, um servidor C2 que orquestra milhares de máquinas e um sistema de plugins carregados sob demanda. Abaixo apresentamos o fluxo de uma infecção típica e, em seguida, detalhamos cada componente.

Arquitetura modular

O núcleo do XWorm é um cliente que faz três coisas: mantém a persistência, estabelece a comunicação com o C2 e executa comandos. Tudo o que é funcionalidade extra vem em plugins — bibliotecas DLL carregadas e executadas inteiramente em memória, sem tocar o disco. O operador dispara o comando plugin pelo painel; o cliente verifica se já tem a DLL registrada em HKCU\SOFTWARE&lt;Client ID> e, se não tiver, pede ao C2 com o comando sendplugin. O servidor responde com savePlugin, enviando a DLL em Base64, e o cliente a executa invocando métodos pré-definidos — Run, RunRecovery, RunOptions, injRun, UACFunc, ENC e DEC. Essa arquitetura permite ao atacante adicionar capacidades sem recompilar o cliente: o mesmo binário vira keylogger, ladrão de senhas ou ransomware conforme o plugin carregado.

Comunicação com o C2

A comunicação é TCP direto, sem HTTP: o cliente conecta ao servidor — tipicamente um domínio de DNS dinâmico, às vezes um IP fixo — em portas não padrão, e o tráfego é cifrado com uma chave simétrica embutida na configuração. O FortiGuard Labs descreve o fluxo: ao conectar, o cliente envia um pacote de registro com informações da máquina — privilégios administrativos, versão do sistema, versão do XWorm — e passa a receber comandos. Diferente de outros RATs que carregam strings identificáveis no handshake, o XWorm varia o tráfego, o que dificulta a detecção por assinatura de rede pura. Algumas variantes usam canais alternativos: o C2 via Telegram (aplicativo de mensagens usado tanto para vender o malware quanto, em algumas versões, para receber comandos) e túneis sobre protocolos comuns para atravessar firewalls.

Geração do identificador do cliente

Cada máquina infectada ganha um identificador único calculado a partir de dados do hardware e do usuário: quantidade de processadores, nome de usuário, nome da máquina, versão do sistema operacional e tamanho do diretório do sistema, combinados em um hash MD5. Esse identificador é usado pelo servidor para organizar os bots, armazenar os plugins no registro e cifrar arquivos — o que significa que o mesmo hash aparece nas chaves de registro criadas na vítima, um bom ponto de partida para a caça em ambiente corporativo.

Plugins observados em campanhas

O relatório do Trellix sobre a versão v6 cataloga os plugins vistos em operações reais: RemoteDesktop.dll cria uma sessão de controle remoto; FileManager.dll dá acesso ao sistema de arquivos; Shell.dll executa comandos em um cmd.exe oculto; Webcam.dll grava a vítima — usada também para confirmar que a máquina é real e não uma sandbox; e a família de stealer — Stealer.dll, Chromium.dll e similares — rouba senhas de navegadores e dados de sessão. Além disso, os operadores costumam executar outros malwares sobre o XWorm: Remcos RAT, Phemedrone Stealer, keyloggers e mineradores de criptomoeda. O Cofense observou que o XWorm é entregue junto com outras famílias em 78% das campanhas — um indicativo de que ele é o elo de acesso de uma cadeia maior, e não o objetivo final.

Cadeias de infecção observadas

A primeira observação do XWorm é de 2022, vendido como serviço em fóruns do submundo e no Telegram, com assinaturas por níveis — versões "quebradas" (cracked) circulam abertamente desde então. O FortiGuard Labs documentou, em fevereiro de 2026, uma campanha com e-mails de múltiplos idiomas e anexos .XLAM explorando o CVE-2018-0802, uma vulnerabilidade de execução remota de código no Equation Editor do Microsoft Office: o Excel dispara um arquivo HTA, que chama o PowerShell, que baixa um módulo .NET embutido em uma imagem JPEG e o injeta via process hollowing em um processo Msbuild.exe legítimo. O Trellix, por sua vez, descreveu a cadeia da versão v7.1 usando JavaScript para baixar o payload e explorando o CVE-2025-8088 em entregas via WinRAR e Discord (plataforma de chat usada como vetor de distribuição). A versão v6.0 ressurgiu em junho de 2025 no hackforums, anunciada pelo suposto sucessor do criador original — que havia sumido após a v5.6 em 2024 — e as versões v7.x continuam ativas em canais do Telegram.

O uso pelo BREEZE COMET

O relatório conjunto do Google Threat Intelligence Group e da Mandiant, publicado em 1º de setembro de 2026, colocou o XWorm no centro da operação do BREEZE COMET (antigo UNC5669), grupo financeiramente motivado que mira sistemas de pagamento brasileiros — Pix, STR e Boleto. Desde meados de 2025, o grupo passou a comprometer sites de prefeituras brasileiras para hospedar ferramentas de acesso remoto, infostealers disfarçados de documentos fiscais — como ComprovantePDF.exe — e backdoors XWorm configurados para persistir via modificação de atalhos de inicialização. Os domínios governamentais comprometidos serviam tanto para a engenharia social de acesso inicial quanto como endpoints de C2, aproveitando a reputação confiável dos domínios .gov.br para passar pelos filtros de reputação de rede. A Mandiant observou a mesma infraestrutura reaproveitada para entregar payloads XWorm contra múltiplas organizações, e o padrão se repetindo em domínios municipais da Nigéria, do Paraguai, de Gana e da Venezuela. Para a fraude em si, o grupo combina o acesso inicial com utilitários e backdoors próprios — como o COBALTSPIN, um túnel reverso SOCKS5 em Rust — e scripts de reconhecimento gerados com apoio de modelos de linguagem, fechando centenas de transferências fraudulentas em 24 a 48 horas e apagando os logs em seguida.

Como se proteger

Controle de aplicação e execução. Bloqueie a execução a partir de diretórios graváveis pelo usuário, como %TEMP% e %APPDATA%, e adote allowlist de aplicações nos endpoints. O XWorm depende de carregar código em memória a partir de arquivos de script e DLLs; sem permissão para executar nesses locais, boa parte das cadeias de infecção simplesmente morre.

Detecção em endpoint. Implante EDR e mantenha o AMSI habilitado — uma das primeiras ações do malware é desativá-lo. Use regras YARA como a do passo a passo no Wazuh e monitore os comportamentos clássicos: criação de tarefas agendadas, escrita em chaves Run e RunOnce, modificação de atalhos .lnk na pasta de inicialização e surgimento de processos como Msbuild.exe ou RegSvcs.exe com parentesco suspeito.

Monitoramento de rede. Alerte para conexões TCP sustentadas em portas não padrão, tráfego cifrado contínuo para domínios de DNS dinâmico e qualquer comunicação com domínios .gov.br anômalos — o BREEZE COMET usa a reputação deles para esconder o C2. A correlação no SIEM entre beaconing de rede e escrita em chaves de registro costuma ser o primeiro sinal de uma infecção em andamento.

Higiene de e-mail e navegador. Treine a equipe para reconhecer phishing e bloqueie anexos ativos no gateway: arquivos .XLAM, HTA, OneNote e pacotes compactados com senha são os vetores preferidos. Mantenha Office, navegadores e o WinRAR atualizados — as campanhas exploram CVEs antigos mas ainda eficazes, como CVE-2018-0802 e CVE-2025-8088.

Gestão de privilégios e segredos. Adote MFA resistente a phishing, aplique o princípio do menor privilégio e proteja como tesouro as credenciais mTLS (autenticação mútua por certificado digital) e as chaves de pipeline de CI/CD — o BREEZE COMET caça exatamente esses segredos para assinar transações Pix, STR e Boleto em nome da vítima. Segmente as redes de pagamento do resto da corporação e controle o acesso físico às redes de lojas, onde o grupo já conectou dispositivos rogue.

Resposta a incidentes. Ao suspeitar de infecção, isole o host da rede imediatamente, preserve logs e memória, revogue credenciais usadas na máquina e procure IOCs — hashes, domínios de C2 e chaves de registro — em todo o parque. Não pague resgate se o plugin de ransomware foi ativado: o objetivo primário do XWorm é acesso e exfiltração, e pagar não garante a recuperação.

Conclusão

O XWorm é o retrato do cibercrime moderno: um RAT de prateleira, modular, barato e fácil de operar, que escala de campanhas de phishing amadoras a operações sofisticadas como as do BREEZE COMET. A mesma ferramenta que rouba senhas de um usuário doméstico serve de backdoor persistente para fraudar o sistema de pagamentos brasileiro — e os dois cenários compartilham o mesmo conjunto de defesas: controle de execução, monitoramento de endpoint e rede, e proteção implacável de credenciais privilegiadas. Entender o protocolo, os plugins e os padrões de persistência do XWorm não é só um exercício de análise: é o que separa uma infecção silenciosa de um alerta contido nas primeiras horas.

Perguntas frequentes

Fontes e leituras adicionais

• Google Cloud Threat Intelligence / Mandiant — Financially Motivated Threat Actor BREEZE COMET Targets Brazil — 01/09/2026
• Cyber Security News — BREEZE COMET Hackers Use AI-Assisted Malware to Target Brazil Banks — 02/09/2026
• Trellix — Malware-as-a-Service Redefined: Why XWorm is outpacing every other RAT in the underground malware market — 12/03/2026
• Fortinet FortiGuard Labs — Deep Dive into New XWorm Campaign Utilizing Multiple-Themed Phishing Emails — 10/02/2026
• Trellix — XWorm V6: Exploring Pivotal Plugins — 02/10/2025
• Huntress — XWorm Malware: Analysis, Detection, Removal — 11/07/2025
• Cofense — The Rise of XWorm RAT: What Cybersecurity Teams Need to Know Now — 13/03/2025
• Derp — XWorm Malware Profile & 7d C2 Tracker — 04/09/2026