Webworm Deploys EchoCreep and GraphWorm Backdoors Using Discord and MS Graph API
Cybersecurity researchers have flagged fresh activity from a China-aligned threat actor known as Webworm in 2025, deploying custom backdoors that employ Discord and Microsoft Graph API for command-and-control (C2 or C&C) communications. Webworm, first publicly documented by Broadcom-owned Symantec in September 2022, is assessed to be active since at least 2022, targeting government agencies
Prioriteit & onderbouwing
Prioriteit: Laag
Geen directe actie nodig
Laag (22/100): geen directe actie nodig. Zwaarst wegend: betrouwbaarheid van het signaal en technische ernst.
laag
- Technische ernst (severity): Genormaliseerde ernst 'low'; geen CVSS-score beschikbaar.
laag
- Geen exploit bekend: Er is geen exploit of actief misbruik bekend.
laag
- Gemeentelijke relevantie: Relevantiescore 10/100 uit de relevantie-engine (module 5).
laag
- Technische ernst: Threat Score 20/100 x gewicht 25%.
- Exploitatie: Exploit Score 10/100 x gewicht 25%.
- Gemeentelijke relevantie: Relevantiescore 10/100 x gewicht 22%.
- Betrouwbaarheid van het signaal: Confidence 'unconfirmed' x gewicht 12%.
- Blootstellingskans: Geschatte blootstelling 30% x gewicht 10%.
- Betrouwbaarheid van de bron: Bronbetrouwbaarheid 60% x gewicht 6%.
De priority_score is de Action Urgency Score: een gewogen combinatie van de technische ernst, de exploitatie en de gemeentelijke relevantie.
Toelichting
Cybersecurity researchers have flagged fresh activity from a China-aligned threat actor known as Webworm in 2025, deploying custom backdoors that employ Discord and Microsoft Graph API for command-and-control (C2 or C&C) communications. Webworm, first publicly documented by Broadcom-owned Symantec in September 2022, is assessed to be active since at least 2022, targeting government agencies
Onderbouwing van de classificatie
Categorie 'vulnerability': bekende leverancier/product herkend (Microsoft, VMware). Severity 'low' bepaald op basis van: geen severity-signalen gevonden, standaard 'low'. Confidence 'unconfirmed': nieuwsbron zonder primaire bevestiging (The Hacker News). Herkende leveranciers/producten: Microsoft, VMware.
Gemeentelijke relevantie
Deze dreiging scoort 10/100 voor de gemeentelijke relevantie. Meegewogen: veelgebruikte gemeentelijke technologie. De score is verlaagd vanwege een vooralsnog uitsluitend theoretische kwetsbaarheid. Geraakte processen: Netwerk en infrastructuur.
Bestuurlijke duiding
Deze dreiging heeft een beperkte gemeentelijke relevantie. Een onverholpen kwetsbaarheid in gemeentelijke systemen vergroot de kans op misbruik. Reguliere opvolging door ICT-beheer en de ISO volstaat; bestuurlijke betrokkenheid is op dit moment niet nodig.
Geraakte processen
Geraakte technologie
Betrokken rollen
CISO · ISO · SOC · ICT beheer
Operationele acties
- Bepaal de patchstatus van de getroffen producten en plan installatie binnen de geldende patchtermijn.
- Beperk of isoleer internetgerichte systemen tot de update is doorgevoerd.
- Verhoog tijdelijk de monitoring op de betrokken systemen en koppelingen.
Concrete stappen voor ICT-beheer en het securityteam.
Aanbevolen acties
- Inventariseer of de getroffen producten in de eigen omgeving in gebruik zijn.
- Installeer beschikbare updates of pas de geadviseerde mitigaties toe.
- Geef voorrang aan internetgerichte systemen.
Dit zijn algemene handelingsperspectieven. Stem de opvolging af op de eigen omgeving en het ISMS van uw gemeente.
Kenmerken
- Ernst
- Laag
- Categorie
- Kwetsbaarheid
- Zekerheid
- Onbevestigd
- Status
- Verrijkt
- CVE's
- Geen
- Prioriteitsscore
- 22 / 100 · Laag
- Bron
- The Hacker News
- Gepubliceerd
- 20 mei 2026