FamousSparrow сместила фокус кибершпионажа на Латинскую Америку
Группа кибершпионажа FamousSparrow, связанная с Китаем и активная как минимум с 2019 года, с июля 2025 года направила значительную часть наблюдаемых целей в Латинскую Америку. Около 90% целей, зафиксированных в телеметрии ESET с середины 2025 года по 2026 год, находились в этом регионе, преимущественно это были государственные организации. Как минимум с августа 2025 года FamousSparrow развёртывает SparroWocky, модульный бэкдор на C++, который быстро вытеснил SparrowDoor в роли основного импланта.
Цели группы и возможности SparroWocky
Среди задокументированных целей были организации в Аргентине, Эквадоре, Гватемале, Гондурасе, Панаме, Перу, Пуэрто-Рико и Венесуэле. Бэкдор поддерживает выполнение команд и файлов, передачу и эксфильтрацию файлов, перечисление каталогов и систем, TCP-проксирование, перечисление сессий, создание скриншотов и выполнение PE-файлов в памяти. Кроме того, SparroWocky может запускать Beacon Object Files (BOF), используя код, заимствованный из открытого проекта COFF Loader. Это расширяет возможности бэкдора без его замены.
Функция создания скриншотов позволяет передать начальное изображение, а при отправке последующих снимков передавать только изменившиеся блоки пикселей. Данные бэкдора шифруются с помощью RC4 и передаются по TLS. Для связи с C2-серверами используются прямые подключения или прокси-серверы, настроенные в системе, а также HTTP- и SOCKS5-прокси. Наблюдаемые серверы преимущественно использовали TCP-порт 443, также сообщалось о порте 8080.
Загрузка, закрепление и обход средств защиты
SparroWocky разворачивается с помощью загрузчика, который использует подмену DLL. Загрузчик расшифровывает полезную нагрузку из файла .dat, удаляет её стандартные сигнатуры PE и рефлексивно отображает её в памяти. В зависимости от конфигурации закрепление выполняется через Службу Windows или ключ запуска в реестре. Среди зафиксированных имён закрепления ProcAuditManager и SnapCart.
Вредоносное ПО использует несколько техник обхода средств защиты: подделку стека, перехват API с помощью MinHook и манипуляцию структурами загрузчика Windows, чтобы код в памяти выглядел более легитимным. Программа перехватывает функцию CreateThread, чтобы новые потоки могли выглядеть созданными через API Windows AnimateWindow.
Исследователи отмечают пересечение используемого FamousSparrow инструментария с инструментарием других группировок, связанных с Китаем. Имеющиеся доказательства не позволяют утверждать, что FamousSparrow является синонимом этих группировок.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
