SparroWocky-Backdoor verschafft FamousSparrow einen unauffälligeren Zugang zu lateinamerikanischen Regierungen

Die China zugerechnete Spionagegruppe FamousSparrow hat eine neu identifizierte Windows-Backdoor gegen Regierungsorganisationen in ganz Lateinamerika eingesetzt. Dabei verbindet sie umfangreiche Überwachungsfunktionen mit ungewöhnlich ausgefeilten Techniken, um schädliche Aktivitäten im Arbeitsspeicher zu verbergen.

Die als SparroWocky bezeichnete Malware wurde in Argentinien, Ecuador, Guatemala, Honduras, Panama, Peru, Puerto Rico und Venezuela beobachtet. Zum Zeitpunkt der Veröffentlichung dauerten die Operationen bereits seit mehr als einem Jahr an. Die ESET-Telemetrie deutet darauf hin, dass sich die Gruppe ab Mitte 2025 vor allem auf Ziele in Lateinamerika konzentrierte.

Das mutmaßliche Aufklärungsziel bestand darin zu beobachten, wie die Regierungen der Region auf den wachsenden Druck der USA auf chinesische Wirtschaftsinteressen reagierten. SparroWocky scheint für FamousSparrow zudem einen technischen Übergang zu markieren und die frühere eigene Backdoor SparrowDoor abzulösen.

Ein Spionagewerkzeug für langfristigen Zugriff auf Regierungsnetze

SparroWocky ist eine in C++ geschriebene modulare Backdoor. Sie bietet einem Angreifer sowohl herkömmliche Funktionen für den Fernzugriff als auch Fähigkeiten zur Aufklärung innerhalb kompromittierter Regierungsnetzwerke.

Nach der Aktivierung kann die Malware Befehle ausführen und ausführbare Dateien starten. Außerdem kann sie Beacon Object Files direkt in den Arbeitsspeicher laden. Dadurch können Angreifer ihre Funktionen erweitern, ohne dafür zwingend zusätzliche Tools auf der Festplatte ablegen zu müssen.

Die Aufklärungsbefehle erfassen Informationen über den infizierten Computer, die Netzwerkkonfiguration, den aktuellen Benutzer, die Windows-Domäne und die Betriebssystemversion. SparroWocky kann Laufwerke, Ordner, Dateien, angeschlossene Bildschirme und aktive Benutzersitzungen auflisten und dem Angreifer so eine detaillierte Übersicht über den Host und seine Benutzer liefern.

Auch die Dateifunktionen sind umfangreich. Die Backdoor kann Daten hoch- und herunterladen sowie Dateien kopieren, verschieben, umbenennen oder löschen. Diese Funktionen unterstützen sowohl den Diebstahl von Dokumenten als auch die Manipulation von auf einem kompromittierten System gespeicherten Inhalten.

Die Überwachung umfasst außerdem Screenshots, die alle 500 Millisekunden aufgenommen werden. Um die Menge der übertragenen Daten zu reduzieren, sendet SparroWocky zunächst ein vollständiges Bildschirmbild und überträgt anschließend nur noch die Bereiche, die sich verändert haben. Dadurch könnte eine dauerhafte visuelle Überwachung bei begrenztem Bandbreitenbedarf ermöglicht und die Netzwerkaktivität weniger auffällig gemacht werden.

Die Malware kann außerdem Prozesse innerhalb der Sitzung eines anderen angemeldeten Benutzers erstellen. Dadurch können Informationen oder Anwendungen sichtbar werden, die im ursprünglichen Kontext nicht verfügbar sind – insbesondere auf gemeinsam genutzten Systemen oder Servern mit mehreren interaktiven Sitzungen.

Schließlich kann SparroWocky als TCP-Proxy arbeiten und Netzwerkverbindungen weiterleiten. Ein kompromittierter Regierungsendpunkt könnte dadurch als Relais für den Zugriff auf weitere Systeme dienen oder die Herkunft des Datenverkehrs der Angreifer verschleiern.

DLL-Side-Loading und direktes Mapping von Payloads im Arbeitsspeicher

Die beobachtete Angriffskette nutzt DLL-Side-Loading. Dabei wird eine legitime ausführbare Datei dazu gebracht, eine schädliche Bibliothek zu laden, die an einem von Windows erwarteten Speicherort abgelegt wurde. Dadurch kann die Ausführung mit vertrauenswürdiger Software in Verbindung gebracht werden, während Erkennungsmechanismen, die sich ausschließlich auf die Prozessidentität stützen, erschwert werden.

Ein Loader ruft die Kern-Payload aus einer .dat-Datei ab, entschlüsselt den RC4-codierten Inhalt und mappt ihn direkt in den Arbeitsspeicher. Der Verzicht auf eine herkömmliche ausführbare Payload auf der Festplatte reduziert die Artefakte, die dateibasierte Antivirenprodukte und forensische Ermittler auswerten können.

Welche legitimen ausführbaren Dateien, DLL-Namen und .dat-Dateinamen bei den verschiedenen Eindringversuchen verwendet wurden, ist nicht bekannt. Auch der Mechanismus für den ersten Zugriff wurde nicht identifiziert. Daher ist unklar, wie FamousSparrow die einzelnen Zielumgebungen zunächst erreichte, bevor die Side-Loading-Kette eingesetzt wurde.

Mit der Kampagne ist keine Software-Schwachstelle und kein CVE verbunden. Entsprechend gibt es keinen gemeldeten Eintrag im CISA-Katalog der bekannten ausgenutzten Schwachstellen, keine Abhilfefrist und keinen Hersteller-Patch im Zusammenhang mit SparroWocky. Es handelt sich um ein Problem der Malware- und Angriffserkennung, nicht um einen herkömmlichen Fall des Schwachstellenmanagements.

Betroffen ist das Betriebssystem Windows. Welche Windows-Editionen und -Versionen genau betroffen sind, wurde jedoch nicht bekannt gegeben.

Thread-Manipulation soll Endpoint-Tools in die Irre führen

Einige der auffälligsten Funktionen von SparroWocky zielen auf die Telemetriedaten, die Endpoint-Sicherheitsprodukte zur Erklärung des Programmstarts heranziehen.

Die Backdoor verfügt über Call-Stack-Spoofing, Threat-Origin-Spoofing und eine dynamische Auflösung von APIs. Außerdem versucht sie, schädlichen Code im Arbeitsspeicher und geladene DLLs als legitime Windows-Komponenten erscheinen zu lassen. Zusammengenommen können diese Maßnahmen Erkennungen schwächen, die auf bekannten API-Aufrufen, einer verdächtigen Herkunft aus dem Arbeitsspeicher oder ungewöhnlichen Ausführungsketten beruhen.

SparroWocky verwendet die Open-Source-Bibliothek MinHook, um die Windows-Funktion CreateThread abzufangen. Beim legitimen Erstellen eines Threads gibt der Parameter lpStartAddress die Adresse an, an der der neue Thread mit der Ausführung beginnen soll. Sicherheitstools können diesen Wert prüfen, um festzustellen, ob ein Thread innerhalb eines vertrauenswürdigen Moduls, eines ungewöhnlichen Speicherbereichs oder eingeschleusten Codes startet.

Die Malware verbirgt den ursprünglichen Wert von lpStartAddress und lässt ihre Threads scheinbar bei AnimateWindow, einer legitimen Windows-Funktion, beginnen. Ein Überwachungsprodukt könnte daher einen scheinbar harmlosen Thread-Ursprung erkennen statt des tatsächlichen Einstiegspunkts der Malware.

Dadurch wird die zugrunde liegende Aktivität nicht unsichtbar. Verteidiger sollten die vom Thread gemeldete Startfunktion jedoch nicht ohne weitere Prüfung als eindeutigen Beleg ansehen, sondern zusätzlich Speicherzuweisungen, Modulgrenzen, Call-Stacks, Hooks und das nachfolgende Verhalten untersuchen.

ESET identifizierte mindestens 18 Command-and-Control-Adressen, die mit SparroWocky kommunizierten. Die Verbindungen erfolgten direkt über die TCP-Ports 443 oder 8080 oder über HTTP- und SOCKS5-Proxies. Die einzelnen Adressen und weitere Netzwerkindikatoren wurden in den verfügbaren Berichten nicht öffentlich genannt.

Persistenz richtet sich nach den verfügbaren Berechtigungen

SparroWocky wählt seine Persistenzmethode abhängig vom erlangten Zugriffslevel.

Bei ausreichenden Berechtigungen kann die Malware einen Windows-Dienst mit dem Namen

ProcAuditManager

installieren.

Alternativ kann sie einen Registrierungswert mit dem Namen

SnapCart

anlegen.

Der Wert kann entweder unter HKLM oder HKCU erscheinen. Die Verwendung von HKLM kann eine systemweite Persistenz ermöglichen, während HKCU eine an den aktuellen Benutzer gebundene Option bietet, wenn keine höheren Berechtigungen verfügbar sind.

Beide Namen eignen sich als wichtige Ansatzpunkte für die Suche. Keiner von ihnen sollte jedoch isoliert als eindeutiger Beleg gewertet werden. Ermittler sollten sie mit den zugehörigen Pfaden ausführbarer Dateien, dem Erstellungszeitpunkt, dem übergeordneten Prozess, geladenen DLLs, .dat-Dateien und ausgehenden Netzwerkaktivitäten abgleichen.

Die Malware verfügt außerdem über Bereinigungsfunktionen. Angreifer können die Persistenz entfernen und die Dateien von SparroWocky löschen, wodurch möglicherweise weniger Spuren nach der Datensammlung oder Befehlsausführung zurückbleiben. Organisationen sollten daher Endpoint-, Dienststeuerungs-, Registrierungs-, Proxy- und Netzwerktelemetrie nach Möglichkeit außerhalb des betroffenen Hosts aufbewahren.

Warum die Kampagne ein erhebliches Aufklärungsrisiko darstellt

Ziele und Werkzeuge sprechen eher für die Sammlung von Nachrichtendienstinformationen als für wahllose Cyberkriminalität. Regierungssysteme können diplomatische Kommunikation, interne politische Beratungen, Dokumente zur Wirtschaftsplanung und Informationen über Verhandlungen mit ausländischen Partnern enthalten.

SparroWocky unterstützt mehrere Wege der Datensammlung gleichzeitig. Angreifer können Dokumente direkt stehlen, Aktivitäten durch häufige Screenshots beobachten, Benutzersitzungen untersuchen, zusätzliche Module im Arbeitsspeicher ausführen und Datenverkehr über kompromittierte Rechner weiterleiten.

Die Proxy-Funktion lässt außerdem die Möglichkeit zu, dass ein infizierter Endpunkt für den Zugriff auf weitere interne Dienste genutzt wurde. Die verfügbaren Erkenntnisse geben nicht an, ob es bei den beobachteten Vorfällen zu lateraler Bewegung kam. Daher ist das Ausmaß einer möglichen weitergehenden Kompromittierung des Netzwerks unbekannt.

ESET bewertete die Entwickler aufgrund der modularen Architektur der Malware, der Manipulation von Windows-internen Funktionen und der umfangreichen Anti-Analyse-Funktionen als technisch versiert. Diese Eigenschaften sprechen für eine gut ausgestattete und erfahrene Spionageoperation. Ein technischer Bericht zur FamousSparrow-Kampagne beschreibt SparroWocky ebenfalls als mutmaßlichen Nachfolger von SparrowDoor.

Schutzmaßnahmen für Windows-Umgebungen

Es wurde weder ein Hersteller-Patch noch ein spezielles Tool zur Entfernung der Malware gemeldet. Schutzmaßnahmen müssen sich daher auf die Indicators of Compromise von ESET, verhaltensbasierte Suche, Eindämmung und forensische Untersuchungen konzentrieren.

Sicherheitsteams sollten die verfügbaren IoCs in Endpoint-, Netzwerk-, Proxy- und SIEM-Plattformen übernehmen. Die Überwachung sollte den ausgehenden Datenverkehr über die Ports 443 und 8080 abdecken. Portnummern allein sind jedoch schwache Indikatoren, da beide häufig für legitime Dienste verwendet werden. Auch HTTP- und SOCKS5-Proxyverhalten sollte auf ungewöhnliche Ziele, Prozesse und Verbindungsmuster untersucht werden.

Bei Endpoint-Untersuchungen sollten folgende Aktivitäten priorisiert werden:

• Unerwartetes DLL-Side-Loading mit legitimen ausführbaren Dateien, unbekannten DLLs und verschlüsselten .dat-Payloads.
• RC4-Entschlüsselung mit anschließender Zuweisung von ausführbarem Speicher oder direktem Mapping der Payload.
• Ausführung von Beacon Object Files im Arbeitsspeicher.
• Erstellung des Dienstes ProcAuditManager.
• Ein SnapCart-Persistenzwert unter HKLM oder HKCU.
• Auf CreateThread gesetzte Hooks, insbesondere durch MinHook.
• Threads, die angeblich bei AnimateWindow starten, obwohl ihr Speicher- und Call-Stack-Kontext nicht dem normalen Windows-Verhalten entspricht.
• Prozesse, die innerhalb der aktiven Sitzung eines anderen Benutzers gestartet werden.
• Schnelle Erfassung von Screenshots und wiederholte Übertragung veränderter Bildschirmbereiche.
• TCP-Weiterleitung, HTTP-Proxying oder SOCKS5-Aktivitäten von Systemen, die diese Funktionen normalerweise nicht bereitstellen.
• Versuche, Dienste, Registrierungs-Persistenz, Payload-Dateien oder andere Ausführungsartefakte zu entfernen.

Jeder bestätigte Indikator sollte eine umfassendere Untersuchung auslösen und nicht lediglich das Löschen einer Datei. Verteidiger müssen ermitteln, wie der Zugriff erfolgte, welche Konten und Sitzungen offengelegt wurden, auf welche Dateien zugegriffen wurde, ob der Host Datenverkehr weiterleitete und ob SparroWocky zusätzliche Komponenten im Arbeitsspeicher ausführte.

Da der anfängliche Kompromittierungsvektor weiterhin unbekannt ist, kann das Entfernen der Backdoor ohne Identifizierung des Eintrittswegs die Umgebung erneut für Zugriffe anfällig machen.