FamousSparrow експлоатира достъпни през интернет Exchange сървъри, за да инсталира задна врата SparroWocky

FamousSparrow представи нов зловреден код от тип backdoor, наречен SparroWocky, след като компрометира публично достъпни Microsoft Exchange сървъри.

Кампанията показва как позната група за шпионаж може да превърне открита имейл система в дискретна, дългосрочна входна точка в правителствена мрежа.

Въздействието се простира извън първия хост, тъй като имейл сървърите обикновено съдържат поверителни съобщения и доверени мрежови връзки.

Дейността е концентрирана в Латинска Америка от средата на 2025 г., като сред наблюдаваните цели са правителства в Аржентина, Еквадор, Гватемала, Хондурас, Панама, Перу, Пуерто Рико и Венецуела.

Изследователите са регистрирали, че 90 процента от целите на групата в региона от средата на 2025 г. до 2026 г. са там, което отбелязва рязка промяна спрямо нейния предишен глобален фокус. Анализатори от Welivesecurity идентифицираха зловредния софтуер като новия основен имплант на FamousSparrow, заместващ SparrowDoor от август 2025 г.

Групата, активна поне от 2019 г., преди това е свързвана с атаки, експлоатиращи ProxyLogon, докато последните доклади също така съдържат подробности за пробива на Exchange от страна на FamousSparrow в мрежа от енергийния сектор.

От Welivesecurity съобщиха в доклад, споделен с Cyber Security News (CSN), че SparroWocky е модулен backdoor на езика C, проектиран за стелт и гъвкав контрол от страна на оператора.

Появата му е важна, тъй като комбинира кражба на данни и отдалечен достъп с техники, предназначени да затруднят разследването и откриването.

FamousSparrow експлоатира публично достъпни Exchange сървъри

FamousSparrow получи първоначален достъп чрез експлоатиране на публично достъпни Exchange сървъри, според картата на пробива, изготвена от изследователите.

Това е позната опасност за организации, работещи с локална имейл инфраструктура: една-единствена уязвимост, достъпна през интернет, може да осигури на атакуващия опираща точка, преди да влязат в сила стандартните защити за потребителите. Групата използва зареждаща програма (loader) от три части, съставена от легитимен изпълним файл, зловреден DLL и криптиран файл със зловреден код.

Изпълнимият файл зарежда фалшивата библиотека чрез DLL side-loading, което позволява на зловредния код да се слива с доверена програма — техника, виждана и в този анализ на незабележим Windows backdoor.

Зареждащата програма декриптира зловредния код и го картографира директно в паметта, вместо да записва крайния backdoor на диска. Тя може да установи персистентност чрез услуга на Windows или ключ Registry Run, след което да събере името на компютъра, детайли за потребителя и домейна, версията на Windows и адресите на мрежовите интерфейси.

След като се свърже, SparroWocky може да изпълнява команди, да мести или премахва файлове, да прави екранни снимки и да изпраща откраднати материали през своя канал за управление и контрол (command-and-control). Той може също да действа като TCP прокси, потенциално предоставяйки на операторите маршрут за достигане до други системи от компрометиран хост.

Функциите за стелт увеличават натиска върху защитата

Backdoor-ът използва TLS за командния трафик и RC4 криптиране за предаваното съдържание. Той може да зарежда Beacon Object Files, компактни модули, използвани от инструменти за red-team, осигурявайки на операторите начин да разширят импланта, без да внедряват отделна пълна програма на диска.

Неговите автори са вградили и мерки за объркване на мониторинга на сигурността. SparroWocky може да маскира стековете от извиквания (call stacks), динамично да намира функции на Windows, да крие начални адреси на нишки и да създава фалшив запис за зареден модул.

Тези функции правят рутинните предупреждения по-малко надеждни и увеличават стойността на разследванията, базирани на паметта и поведението. Непосредственият приоритет е да се инсталират корекции за сигурност на достъпните през интернет Exchange сървъри, да се премахне или ограничи ненужният публичен достъп и да се потвърди, че сървърите работят с поддържани и актуални версии.

Екипите трябва да третират публичния код за експлоатация и докладите за експлоатация на открити Exchange сървъри като напомняне да инвентаризират външните си услуги, вместо да предполагат, че периметровите контроли са достатъчни.

Защитниците трябва също да търсят неочакван DLL side-loading, нови услуги или записи в Registry Run, подозрителни .dat файлове със зловреден код и необичайни изходящи TLS сесии към изброените адреси.

Прегледайте логовете на Exchange и IIS за необичайна активност, изолирайте заподозрените хостове, запазете доказателствата в паметта, подменете потенциално компрометираните данни за достъп и проучете близките системи за последващ достъп.

Тази кампания илюстрира по-широка промяна, при която доказана група за проникване съчетава целеви регионален шпионаж с по-способни потребителски импланти.

Организациите, които разчитат на публично достъпни Exchange системи, трябва да превърнат бързото инсталиране на корекции за сигурност, непрекъснатите проверки за експозиция и търсенето на заплахи след компрометиране в рутинни части от своя план за защита, особено като се имат предвид последните насоки за отстраняване на уязвимости в Exchange.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно обезопасени (напр. [.]), за да се предотврати случайно решаване на домейни или добавяне на хипервръзки. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.