Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur le logiciel malveillant XWorm, qui a récemment refait surface avec plus de 35 plugins, dont l'un permet à ses utilisateurs de chiffrer et de déchiffrer des fichiers. Notre équipe vous explique ensuite comment Microsoft a réussi à identifier et à neutraliser plusieurs menaces sophistiquées visant son application Teams. Enfin, nous menons une enquête sur l'exploitation active d'une vulnérabilité critique dans GoAnywhere Managed File Transfer (MFT).
Le logiciel malveillant XWorm refait surface avec un ransomware après une période d'inactivité
Trellix suit de près l'évolution du logiciel malveillant XWorm, qui a récemment refait surface après que son développeur d'origine eut abandonné le projet.
XWorm v6 est un cheval de Troie d'accès à distance sophistiqué qui utilise un système de plugins modulaires pour mener toute une série d'activités malveillantes, notamment le vol d'identifiants, le contrôle à distance et la mise en place de mécanismes de persistance. Cette version de XWorm propose une capacité de dissimulation améliorée, une exécution à partir de la mémoire via des plugins, ainsi qu'une intégration avec d'autres familles de logiciels malveillants.
L'abandon et la résurgence de XWorm
Le développeur de XWorm a supprimé son compte après avoir publié XWorm V5,6 vers la fin de l'année 2024, ce qui a conduit les chercheurs à penser qu'il s'agissait de la dernière version. À la suite de cette action, d'autres acteurs ont commencé à diffuser et à utiliser des versions piratées de ce logiciel malveillant.
Sur le site juin 2025, des chercheurs ont découvert un nouveau message annonçant la sortie de XWorm V6. Cette version corrige une vulnérabilité de type RCE présente dans les versions précédentes et apporte plusieurs autres mises à jour. Beaucoup se sont demandé si cette annonce provenait du développeur d'origine du logiciel malveillant ou s'il s'agissait simplement d'une personne cherchant à tirer profit de la notoriété de ce dernier.
XWorm V6 : la dernière version de XWorm
Trellix a récemment constaté une augmentation du nombre d'échantillons de XWorm V6 sur VirusTotal.
Les campagnes utilisant la variante V6 de ce logiciel malveillant commencent par un fichier JavaScript malveillant, accessible à l'adresse , diffusé par le biais d'e-mails de hameçonnage ou de sites web malveillants. Cette opération télécharge et exécute un script PowerShell qui désactive l'interface d'analyse anti-malware (AMSI) et installe un outil d'injection. Cet outil injecte le code malveillant dans un programme Windows légitime. La charge utile finale, XWorm V6, se connecte ensuite à son serveur de commande et de contrôle (C2).
Plug-ins XWorm V6
Ce logiciel malveillant intègre une commande appelée « plugin », qui permet à ses utilisateurs d'exécuter des charges utiles supplémentaires. Les charges utiles sont toutes des DLL qui sont chargées et exécutées en mémoire.
Trellix a analysé le trafic réseau provenant des C2 serveurs du logiciel malveillant afin d'identifier les plugins utilisés par celui-ci, comme cela est détaillé dans la section suivante. L'entreprise a également constaté que ce logiciel malveillant exécutait d'autres familles de logiciels malveillants, telles que DarkCloud, Phantom Stealer, Remcos RAT et plusieurs autres.
Analyse des modules complémentaires de XWorm
XWorm prend désormais en charge plus de 35 plugins. Il s'agit notamment de RemoteDesktop.dll, qui permet de créer des sessions à distance, de plugins destinés au vol de données, ainsi que de FileManager.dll, qui offre notamment des capacités d'accès et de manipulation du système de fichiers.
Ce logiciel malveillant comprend également un module appelé « Ransomware.dll », qui permet aux utilisateurs de chiffrer et de déchiffrer des fichiers. Lorsque l'opérateur utilise ce plugin de ransomware, il peut personnaliser l'image à utiliser comme fond d'écran, l'adresse BTC, une adresse e-mail et le montant de la rançon.
Trellix présente en détail plusieurs de ces plugins dans son rapport, à l'intention de ceux qui souhaitent approfondir le sujet d'un point de vue technique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
XWorm V6 marque une évolution dans le domaine des logiciels malveillants modulaires, permettant aux attaquants de déployer des fonctionnalités hautement ciblées tout en laissant une empreinte minimale. Le nombre considérable de modules disponibles dans la version V6 permet aux acteurs d'adapter ses fonctionnalités à chaque cible, ce qui rend plus complexes la détection des menaces et la gestion des s de réponse ( ).
Les techniques de persistance avancées de XWorm, ses modules de vol d'identifiants et son intégration avec d'autres familles de logiciels malveillants en font un outil puissant tant pour l'espionnage que pour les attaques financières, en particulier celles impliquant une compromission à long terme.
Microsoft neutralise plusieurs menaces visant Teams
Microsoft a identifié et a neutralisé toute une série de cybermenaces sophistiquées visant son application Teams, notamment des techniques d'ingénierie sociale , des attaques de type « », la diffusion de logiciels malveillants ainsi que l'utilisation abusive des fonctionnalités de collaboration par des acteurs criminels et des États-acteurs.
Bien qu’ils ne soient pas exclusivement destinés à Teams, il existe, selon Microsoft, certains frameworks open source capables de « recenser les utilisateurs, groupes et locataires les moins sécurisés dans Teams ». Ces outils open source permettent de recenser divers aspects de Microsoft Teams, allant jusqu'à révéler le statut de disponibilité actuel de l'utilisateur si certains paramètres de confidentialité ne sont pas activés.
Pour se prémunir contre les menaces pesant sur Microsoft Teams, Microsoft continue d'améliorer ses mesures de protection contre les faux locataires Entra ID, ainsi que contre l'utilisation abusive des locataires gratuits et des abonnements d'essai par des acteurs malveillants. L'entreprise présente également une stratégie de défense à plusieurs niveaux couvrant l'identité, les terminaux, les applications et les données, afin d'aider les organisations à atténuer de manière proactive les risques en constante évolution.
Accès initial
Les cybercriminels ont recours à plusieurs leurres différents dans le cadre de leur stratégie d'accès initial via Microsoft Teams. L'un de ces leurres est la tristement célèbre arnaque au « support technique », qui conduit au téléchargement d'un outil de surveillance et de gestion à distance (RMM).
On peut en voir un exemple dans une attaque menée par Storm-1811, qui s'est fait passer pour un service d'assistance technique et a tenté de résoudre un problème lié à de grandes quantités de courriers indésirables que l'auteur de l'attaque avait lui-même générés. Des outils RMM ont ensuite été téléchargés et utilisés pour diffuser des charges utiles de logiciels malveillants et de rançongiciels.
Microsoft cite également l'exemple de Midnight Blizzard, qui s'est fait passer pour le service d'assistance technique afin d'amener les victimes à vérifier leurs comptes et à saisir des codes d'authentification pour y accéder. Les « deepfakes » et l'IA ne feront que renforcer l'efficacité de cette ingénierie sociale via Teams.
Persévérance
Pour assurer la persistance de ces attaques, les auteurs de menaces utilisent abusivement les raccourcis du dossier de démarrage afin de faciliter l'exécution d'outils malveillants et exploitent également les fonctionnalités d'accessibilité, telles que les touches verrouillées. Les intervenants peuvent également créer des comptes d'utilisateurs invités au sein des locataires auxquels ils ont accès, afin de conserver cet accès.
Microsoft signale le cas dans lequel Storm-2373 a exploité les processus d'authentification du code des appareils pour capturer des jetons d'authentification. L'acteur a engagé la conversation avec ses victimes dans des discussions Teams afin d'établir un lien de confiance avant de les inciter à s'authentifier et de leur dérober le jeton.
Exécution et élévation des privilèges
Les comptes administrateur constituent un atout pour les acteurs malveillants, car ils leur confèrent les privilèges élevés nécessaires pour mener d'autres activités malveillantes. Outre ces comptes administrateurs, les cybercriminels ciblent également les utilisateurs lambda et les incitent à ouvrir des liens ou des fichiers envoyés via Teams, de la même manière que lorsqu’ils sont envoyés par e-mail.
En ce qui concerne l'escalade de privilèges, on a observé que des acteurs enregistraient des appareils qu'ils contrôlaient et tentaient de modifier les groupes d'autorisations.
Accès aux identifiants
Un acteur disposant d'un jeton de rafraîchissement valide peut facilement usurper l'identité d'utilisateurs à l'aide des API Teams. Il existe plusieurs outils de niveau administrateur qui pourraient être détournés par des acteurs malveillants afin d'intercepter des jetons. De plus, l'acteur pourrait recourir à l'attaque par « password spraying » pour obtenir des identifiants.
Découverte
On sait également que les acteurs malveillants exploitent Microsoft Teams à des fins de reconnaissance, en analysant les données de configuration de Teams et en recensant les applications lorsqu'ils y ont accès.
Microsoft cite l'exemple de Void Blizzard, un acteur malveillant qui a exploité AzureHound pour recenser la configuration Microsoft Entra ID d'une organisation. L'acteur a pu découvrir des informations concernant les utilisateurs, les rôles, les groupes, les applications, etc. L'acteur a également pu accéder à certaines conversations sur Teams.
Déplacement latéral et collecte
Microsoft souligne que si un acteur parvenait à obtenir des droits d'administrateur sur Teams, il pourrait potentiellement « exploiter les paramètres de communication externe et établir des relations de confiance entre les organisations pour se déplacer latéralement ».
Les acteurs pourraient également tenter d'exploiter Teams pour obtenir d'autres informations et collecter des données susceptibles de leur être utiles pour atteindre leurs objectifs.
C2 et l'exfiltration
Les cybercriminels tenteront de diffuser des logiciels malveillants via Teams, le plus souvent par le biais de pièces jointes. Certains outils intègrent même des fonctionnalités spécifiques permettant de créer C2 canaux avec Microsoft Teams.
Les acteurs malveillants peuvent également utiliser les messages Teams à des fins d'exfiltration. Comme le souligne Microsoft, il existe des outils spécialement conçus à cet effet.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'exploitation persistante de Microsoft Teams met en évidence le fait que les plateformes de collaboration font désormais partie intégrante des surfaces d'attaque modernes, ce qui oblige les responsables de la sécurité à les examiner avec la même rigueur que les terminaux traditionnels et les systèmes de messagerie électronique.
Par ailleurs, le fait que les attaquants se servent de locataires légitimes et d’images de marque pour gagner la confiance des utilisateurs nous rappelle de manière frappante que la vérification d’identité « » doit aller au-delà des indicateurs superficiels, en particulier dans les environnements où la collaboration externe est courante.
Le rapport de Microsoft regorge de conseils utiles en matière d'atténuation et de protection, ainsi que de détections de Defender et de requêtes de recherche permettant d'identifier cette menace et de s'en protéger.
Storm-1175 exploite une faille critique de GoAnywhere MFT
Microsoft a identifié l'exploitation active d'une vulnérabilité critique (CVE-2025-10035) dans GoAnywhere MFT, permettant l'exécution de code à distance sans authentification via une réponse de licence falsifiée.
Storm-1175, un acteur malveillant motivé par l'appât du gain, exploite activement cette faille pour déployer des ransomwares et exfiltrer des données, ce qui justifie des recommandations urgentes en matière de mesures d'atténuation et d'application de correctifs.
À propos de CVE-2025-10035
Le mois dernier, un avis de sécurité a été publié, décrivant en détail la vulnérabilité CVE-2025-10035 du servlet de licence de GoAnywhere MFT. Cette vulnérabilité a reçu un score CVSS de 10 et pourrait entraîner une injection de commande et l'exécution de code à distance. Microsoft a depuis constaté qu'un acteur malveillant, identifié sous le nom de Storm-1175, exploitait cette vulnérabilité.
Cette vulnérabilité est une faille de désérialisation au sein de la console d'administration du servlet de licence MFT de GoAnywhere. Cette vulnérabilité concerne les versions jusqu'à la 7,8,3 et « permettrait à un attaquant de contourner la vérification de la signature en créant une signature de réponse de licence falsifiée, ce qui permettrait ensuite la désérialisation d'objets arbitraires contrôlés par l'attaquant ». L'exploitation ne nécessiterait apparemment pas que l'attaquant s'authentifie s'il est capable de fabriquer ou d'intercepter des réponses de licence, ce qui accroît le risque lié à cette faille.
Selon Microsoft, cette vulnérabilité pourrait permettre à des attaquants de procéder à la découverte du système et des utilisateurs, ainsi qu’au déploiement d’outils supplémentaires, tout en conservant un accès à long terme.
Storm-1175 et CVE-2025-10035
Microsoft a constaté que Storm-1175 exploitait cette vulnérabilité dans le cadre d'attaques en plusieurs étapes. Pour obtenir un premier accès, l'attaquant exploite la vulnérabilité présente dans GoAnywhere MFT. Et pour assurer la persistance, ils ont utilisé des outils RMM dont ils ont déposé les fichiers binaires au sein du processus GoAnywhere MFT.
L'acteur pourrait alors utiliser des commandes de découverte et déployer des outils supplémentaires avant de se déplacer latéralement à travers le réseau. Les outils RMM ont de nouveau été utilisés à C2 fins et les données ont été traitées. Dans un cas observé, le ransomware « Medusa » ( ) a également été déployé.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est important de noter que Storm-1175 a commencé à exploiter la vulnérabilité CVE-2025-10035 avant sa divulgation publique. Cela démontre à quel point les acteurs malveillants maîtrisent de mieux en mieux l'art d'identifier et d'exploiter les vulnérabilités « zero-day », souvent plus rapidement que les défenseurs ne peuvent réagir.
GoAnywhere MFT étant largement utilisé dans les environnements d'entreprise pour les transferts de fichiers sécurisés, cette vulnérabilité illustre parfaitement comment une seule faille dans un outil tiers peut avoir des répercussions en cascade.
Microsoft a également inclus dans ce rapport des recommandations relatives à la prévention et à la protection contre le virus « » : .
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
