Свързваният с Китай държавно спонсориран киберпрестъпник, известен като FamousSparrow, е забелязан да внедрява несъобщавана досега задна врата (backdoor), наречена SparroWocky, при атаки, насочени към множество държави в Латинска Америка най-малко от август 2025 г.

„SparroWocky е модулна задна врата, написана на C++“, заявяват изследователите по сигурността от ESET Александър Коте Сир и Ромен Дюмон в технически доклад, споделен с The Hacker News преди публикуването му. „Неговата архитектура и техниките, използвани от авторите му, показват задълбочени познания относно триковете за предотвратяване на анализ и вътрешните механизми на Windows.“

SparroWocky носи това име поради факта, че за ранните версии на зловредния софтуер е установено, че съдържат първата строфа от Jabberwocky — известно абсурдно стихотворение, написано от английския писател, поет и математик Люис Карол около 1855 г.

Последните констатации на ESET показват, че групата за кибершпионаж, която има известно препокриване с Earth Estries и Salt Typhoon, е заменила SparrowDoor със SparroWocky като свой основен имплант. Прогнозира се,телно авторът на заплахата е активен поне от 2019 г.

SparroWocky притежава способност да изпълнява произволни файлове, да действа като TCP прокси и да стартира команди. Той може също да събира обща информация за компрометираната машина и IP адресите на нейните мрежови интерфейси, както и да извлича файлове, да прави периодични екранни снимки, да извършва файлови операции и да се изтрива от хоста.

Освен това той използва различни публични проекти за комуникация и избягване на защитите –

  • Mbed TLS, за създаване на сигурен комуникационен канал със своя команден сървър (C2) („216.238.110[.]120“) през TLS
  • MinHook, за да скрие началния адрес на новосъздадените нишки от продуктите за сигурност
  • COFF Loader, за да позволи динамично зареждане и изпълнение на плъгини в паметта под формата на COFF обекти
  • Вариант на SilentMoonwalk (или StackMoonwalk), за фалшифициране на стека на извикванията (call stacks), произлизащи от MinHook процедурите

„FamousSparrow все още използва инструменти за нападателни цели с отворен код за своите злонамерени намерения“, казва ESET. „Преди това тези инструменти са използвани основно паралелно със задната врата на групата. При SparroWocky можем да наблюдаваме, че тя разполага и с възможности за разработка за интегриране на отворен код директно в своя собствен персонализиран зловреден код.“

Въпреки преминаването към далечно семейство зловреден софтуер, основните техники остават същите. Както бе наблюдавано при SparrowDoor, зловредният код се задейства чрез верига за странично зареждане на DLL (DLL sideloading). Легитимният изпълним файл се използва за стартиране на зареден DLL файл, който след това декриптира и стартира основния зловреден код. Векторът за първоначален достъп, използван при тези атаки, остава неизвестен.

Нещо повече, FamousSparrow изглежда се фокусира върху атаки срещу високопоставени субекти в Латинска Америка от юли 2025 г., като новата задна врата е внедрена срещу правителствени институции в Аржентина, Еквадор, Гватемала, Хондурас, Панама, Перу, Пуерто Рико и Венецуела. От ESET съобщават, че 90% от целите на групата, регистрирани в тяхната телеметрия, са били разположени в този регион.

„Не е ясно дали очевидният фокус на групата върху Латинска Америка отразява официален географски мандат, или това е само временно и е диктувано от настоящите геополитически обстоятелства“, съобщават от словашката компания за киберсигурност.