La porte dérobée SparroWocky offre à FamousSparrow un accès furtif aux gouvernements d’Amérique latine

Le groupe d’espionnage lié à la Chine FamousSparrow a déployé une porte dérobée Windows récemment identifiée contre des organismes gouvernementaux d’Amérique latine. Celle-ci combine de vastes capacités de surveillance et des techniques particulièrement élaborées pour dissimuler les activités malveillantes en mémoire.

Le malware, baptisé SparroWocky, a été observé en Argentine, en Équateur, au Guatemala, au Honduras, au Panama, au Pérou, à Porto Rico et au Venezuela. Au moment de leur signalement, les opérations étaient en cours depuis plus d’un an. La télémétrie d’ESET indique par ailleurs que le groupe s’est principalement concentré sur des cibles latino-américaines à partir de la mi-2025.

L’objectif présumé était de surveiller la manière dont les gouvernements de la région réagissaient à la pression croissante exercée par les États-Unis sur les intérêts économiques chinois. SparroWocky semble également marquer une évolution technique pour FamousSparrow, qui délaisse son ancienne porte dérobée personnalisée, SparrowDoor.

Un outil d’espionnage gouvernemental conçu pour maintenir un accès prolongé

SparroWocky est une porte dérobée modulaire écrite en C++. Elle fournit à un opérateur des fonctions classiques d’accès à distance ainsi que des capacités conçues pour recueillir des informations au sein de réseaux gouvernementaux compromis.

Une fois actif, le malware peut exécuter des commandes et lancer des fichiers exécutables. Il peut également charger des Beacon Object Files directement en mémoire, ce qui permet aux opérateurs d’étendre ses fonctionnalités sans nécessairement écrire d’autres outils sur le disque.

Ses commandes de reconnaissance recueillent des informations sur l’ordinateur infecté, la configuration réseau, l’utilisateur actuel, le domaine Windows et la version du système d’exploitation. SparroWocky peut énumérer les lecteurs, les dossiers, les fichiers, les écrans connectés et les sessions utilisateur actives, offrant à l’attaquant une cartographie détaillée de l’hôte et de ses utilisateurs.

Les opérations sur les fichiers sont tout aussi étendues. La porte dérobée peut téléverser et télécharger des données, mais aussi copier, déplacer, renommer ou supprimer des fichiers. Ces fonctions permettent à la fois de dérober des documents et de manipuler les éléments stockés sur un système compromis.

La surveillance inclut la capture de captures d’écran toutes les 500 millisecondes. Pour réduire le volume de données transmises, SparroWocky envoie d’abord une image complète de l’écran, puis uniquement les zones qui ont changé. Cette conception peut permettre une surveillance visuelle prolongée tout en limitant la bande passante utilisée et en rendant l’activité réseau moins visible.

Le malware peut également créer des processus dans la session d’un autre utilisateur connecté. Cela peut lui donner accès à des informations ou à des applications indisponibles dans le contexte initial, notamment sur des systèmes partagés ou des serveurs hébergeant plusieurs sessions interactives.

Enfin, SparroWocky peut fonctionner comme proxy TCP et relayer des connexions réseau. Un poste gouvernemental compromis peut ainsi servir de relais pour atteindre d’autres systèmes ou masquer l’origine du trafic de l’attaquant.

DLL side-loading et chargement de la charge utile uniquement en mémoire

La chaîne de déploiement observée utilise le DLL side-loading, une technique qui consiste à amener un exécutable légitime à charger une bibliothèque malveillante placée à l’endroit où Windows la recherchera. L’exécution peut ainsi sembler liée à un logiciel de confiance, ce qui complique les détections fondées uniquement sur l’identité du processus.

Un chargeur récupère la charge utile principale dans un fichier .dat, déchiffre son contenu encodé avec RC4, puis le mappe directement en mémoire. L’absence de charge utile exécutable classique sur le disque réduit les artefacts accessibles aux antivirus fondés sur l’analyse des fichiers et aux enquêteurs judiciaires.

Les noms exacts des exécutables légitimes, des DLL et des fichiers .dat utilisés au cours des intrusions n’ont pas été communiqués. Aucun mécanisme d’accès initial n’a non plus été identifié. On ignore donc comment FamousSparrow a initialement atteint chacun des environnements ciblés avant de déployer la chaîne de side-loading.

Aucune vulnérabilité logicielle ni aucun CVE n’est associé à cette campagne. Il n’existe par conséquent aucune entrée signalée dans le catalogue CISA Known Exploited Vulnerabilities, aucune échéance de remédiation ni aucun correctif éditeur lié à SparroWocky. Il s’agit d’un problème de malware et de détection d’intrusion, et non d’un cas classique de gestion des vulnérabilités.

Le périmètre des systèmes d’exploitation concernés se limite à Windows, mais les éditions et versions précises de Windows n’ont pas été communiquées.

La manipulation des threads vise à tromper les outils de sécurité des postes

Certains des comportements les plus distinctifs de SparroWocky ciblent les données de télémétrie utilisées par les produits de sécurité des postes pour déterminer comment le code a commencé à s’exécuter.

La porte dérobée intègre une falsification de la pile d’appels, une falsification de l’origine de la menace et une résolution dynamique des API. Elle tente également de faire passer du code malveillant en mémoire et des DLL chargées pour des composants Windows légitimes. Ensemble, ces mesures peuvent affaiblir les détections qui reposent sur des appels d’API reconnaissables, une provenance mémoire suspecte ou des chaînes d’exécution anormales.

SparroWocky utilise la bibliothèque open source MinHook pour intercepter la fonction Windows CreateThread. Lors de la création légitime d’un thread, le paramètre lpStartAddress indique l’adresse à laquelle le nouveau thread doit commencer son exécution. Les outils de sécurité peuvent examiner cette valeur pour déterminer si un thread démarre dans un module de confiance, une zone mémoire inhabituelle ou du code injecté.

Le malware dissimule la valeur originale de lpStartAddress et fait croire que ses threads commencent à l’adresse de AnimateWindow, une fonction Windows légitime. Un produit de supervision peut ainsi observer une origine apparemment bénigne au lieu du véritable point d’entrée du malware.

Cela ne rend pas l’activité sous-jacente invisible. Les défenseurs doivent toutefois éviter de considérer la fonction de démarrage signalée pour un thread comme une preuve définitive sans examiner également les allocations mémoire, les limites des modules, les piles d’appels, les hooks et le comportement ultérieur.

ESET a identifié au moins 18 adresses de commande et de contrôle communiquant avec SparroWocky. Les connexions s’effectuaient directement sur les ports TCP 443 ou 8080, ou par l’intermédiaire de proxys HTTP et SOCKS5. Les adresses individuelles et les autres indicateurs réseau n’ont pas été rendus publics dans les informations disponibles.

La persistance varie selon les privilèges disponibles

SparroWocky sélectionne son mécanisme de persistance en fonction du niveau d’accès obtenu.

Avec des privilèges suffisants, il peut installer un service Windows nommé :

ProcAuditManager

Il peut également créer une valeur de registre appelée :

SnapCart

Cette valeur peut apparaître sous HKLM ou HKCU. L’utilisation de HKLM peut assurer une persistance à l’échelle de la machine, tandis que HKCU offre une option liée à l’utilisateur actuel lorsque des privilèges plus élevés ne sont pas disponibles.

Ces deux noms constituent des pivots de recherche utiles, mais aucun ne doit être considéré isolément comme une preuve concluante. Les enquêteurs doivent les mettre en corrélation avec les chemins des exécutables associés, la date de création, le processus parent, les DLL chargées, les fichiers .dat et l’activité réseau sortante.

Le malware contient également des fonctions de nettoyage. Les opérateurs peuvent supprimer la persistance et effacer les fichiers de SparroWocky, réduisant potentiellement les traces laissées après la collecte d’informations ou l’exécution de commandes. Les organisations doivent donc, lorsque cela est possible, conserver la télémétrie des postes, des services, du contrôle des services, du registre, des proxys et du réseau en dehors de l’hôte affecté.

Pourquoi cette campagne représente un risque sérieux pour le renseignement

Le ciblage et les outils utilisés renvoient à une activité de collecte de renseignements plutôt qu’à une cybercriminalité indiscriminée. Les systèmes gouvernementaux peuvent contenir des communications diplomatiques, des discussions internes sur les politiques publiques, des documents de planification économique et des informations sur les négociations avec des partenaires étrangers.

SparroWocky prend en charge plusieurs voies de collecte simultanément. Les opérateurs peuvent dérober directement des documents, surveiller l’activité au moyen de captures d’écran fréquentes, inspecter les sessions utilisateur, exécuter des modules supplémentaires en mémoire et faire transiter le trafic par des machines compromises.

La fonctionnalité de proxy laisse également penser qu’un poste infecté pourrait servir à atteindre d’autres services internes. Les informations disponibles n’indiquent pas si un déplacement latéral a eu lieu lors des incidents observés. L’ampleur d’une éventuelle compromission plus large du réseau reste donc inconnue.

ESET a estimé que les développeurs disposaient de solides compétences techniques, au vu de l’architecture modulaire du malware, de sa manipulation des composants internes de Windows et de ses nombreuses fonctions anti-analyse. Ces caractéristiques correspondent à une opération d’espionnage expérimentée et bénéficiant de ressources importantes. Un rapport technique sur la campagne FamousSparrow décrit également SparroWocky comme le successeur apparent de SparrowDoor.

Priorités de défense dans les environnements Windows

Aucun correctif éditeur ni outil de suppression dédié n’a été signalé. Les mesures défensives doivent donc se concentrer sur les indicateurs de compromission d’ESET, la recherche de comportements suspects, le confinement et l’analyse forensique.

Les équipes de sécurité doivent intégrer les IoC disponibles dans les plateformes de sécurité des postes, de supervision réseau, de proxy et de SIEM. La surveillance doit couvrir le trafic sortant sur les ports 443 et 8080, mais les numéros de port seuls constituent de faibles indicateurs, car ces deux ports sont largement utilisés par des services légitimes. Les comportements liés aux proxys HTTP et SOCKS5 doivent également être examinés afin d’identifier les destinations, processus et schémas de connexion inhabituels.

Les investigations sur les postes doivent notamment rechercher :

• Un DLL side-loading inattendu impliquant des exécutables légitimes, des DLL inconnues et des charges utiles .dat chiffrées.
• Un déchiffrement RC4 suivi de l’allocation de mémoire exécutable ou du mappage direct d’une charge utile.
• L’exécution en mémoire de Beacon Object Files.
• La création du service ProcAuditManager.
• Une valeur de persistance SnapCart sous HKLM ou HKCU.
• Des hooks placés sur CreateThread, notamment au moyen de MinHook.
• Des threads signalés comme démarrant à l’adresse de AnimateWindow alors que leur contexte mémoire et leur pile d’appels ne correspondent pas au comportement normal de Windows.
• Des processus lancés dans la session active d’un autre utilisateur.
• La capture rapide de captures d’écran et la transmission répétée des zones d’écran modifiées.
• Une redirection TCP, l’utilisation d’un proxy HTTP ou une activité SOCKS5 sur des systèmes qui n’assurent normalement pas ces fonctions.
• Des tentatives de suppression de services, de mécanismes de persistance dans le registre, de fichiers de charge utile ou d’autres artefacts d’exécution.

Tout indicateur confirmé doit entraîner une analyse plus large, et non une simple suppression de fichier. Les défenseurs doivent déterminer comment l’accès a été obtenu, quels comptes et quelles sessions ont été exposés, quels fichiers ont été consultés, si l’hôte a relayé du trafic et si SparroWocky a exécuté d’autres composants en mémoire.

Le vecteur de compromission initial restant inconnu, supprimer la porte dérobée sans identifier le mode d’entrée pourrait laisser l’environnement vulnérable à un nouvel accès.