La backdoor SparroWocky offre a FamousSparrow un accesso più furtivo ai governi latinoamericani

Il gruppo di cyberspionaggio FamousSparrow, legato alla Cina, ha utilizzato una backdoor Windows di recente identificazione contro organizzazioni governative in tutta l’America Latina, combinando ampie funzionalità di sorveglianza con tecniche insolitamente elaborate per nascondere le attività dannose in memoria.

Il malware, denominato SparroWocky, è stato osservato in Argentina, Ecuador, Guatemala, Honduras, Panama, Perù, Porto Rico e Venezuela. Al momento della segnalazione, le operazioni erano già in corso da più di un anno, mentre la telemetria di ESET indica che, dalla metà del 2025, il gruppo si è concentrato soprattutto su obiettivi latinoamericani.

L’obiettivo di intelligence ipotizzato era monitorare la risposta dei governi della regione alle crescenti pressioni degli Stati Uniti sugli interessi economici cinesi. SparroWocky sembra inoltre rappresentare una transizione tecnica per FamousSparrow, che avrebbe sostituito la precedente backdoor personalizzata, SparrowDoor.

Uno strumento di cyberspionaggio governativo progettato per mantenere l’accesso a lungo

SparroWocky è una backdoor modulare scritta in C++. Offre all’operatore sia funzioni convenzionali di accesso remoto sia funzionalità progettate per raccogliere informazioni all’interno delle reti governative compromesse.

Una volta attivo, il malware può eseguire comandi e avviare file eseguibili. Può inoltre caricare Beacon Object Files direttamente in memoria, consentendo agli operatori di estenderne il comportamento senza dover necessariamente scrivere altri strumenti sul disco.

I comandi di ricognizione raccolgono informazioni sul computer infetto, sulla configurazione di rete, sull’utente corrente, sul dominio Windows e sulla versione del sistema operativo. SparroWocky può enumerare unità, cartelle, file, schermi collegati e sessioni utente attive, fornendo all’attaccante una mappa dettagliata dell’host e dei suoi utenti.

Anche le operazioni sui file sono molto estese. La backdoor può caricare e scaricare dati, nonché copiare, spostare, rinominare o eliminare file. Queste funzioni supportano sia il furto di documenti sia la manipolazione dei materiali archiviati in un sistema compromesso.

La sorveglianza comprende anche schermate acquisite ogni 500 millisecondi. Per ridurre la quantità di dati trasmessi, SparroWocky invia un’immagine iniziale a schermo intero e trasferisce poi soltanto le aree che hanno subito modifiche. Questo approccio potrebbe consentire un monitoraggio visivo continuo limitando al contempo il consumo di banda e rendendo meno evidente l’attività di rete.

Il malware può inoltre creare processi all’interno della sessione di un altro utente connesso. In questo modo può accedere a informazioni o applicazioni non disponibili nel contesto originale, soprattutto nei sistemi condivisi o nei server con più sessioni interattive.

Infine, SparroWocky può funzionare come proxy TCP e inoltrare connessioni di rete. Un endpoint governativo compromesso potrebbe quindi diventare un punto di transito per raggiungere altri sistemi o nascondere l’origine del traffico dell’attaccante.

DLL side-loading e caricamento del payload esclusivamente in memoria

La catena di distribuzione osservata utilizza il DLL side-loading, una tecnica che induce un eseguibile legittimo a caricare una libreria dannosa collocata in una posizione in cui Windows la individuerà. In questo modo l’esecuzione può sembrare collegata a software affidabile, complicando i rilevamenti basati esclusivamente sull’identità del processo.

Un loader recupera il payload principale da un file .dat, decritta il contenuto codificato con RC4 e lo carica direttamente in memoria. Evitare di conservare sul disco un payload eseguibile convenzionale riduce gli artefatti a disposizione dei prodotti antivirus basati sui file e degli analisti forensi.

Non sono stati resi noti gli eseguibili legittimi, i nomi delle DLL e i nomi dei file .dat utilizzati nelle diverse intrusioni. Non è stato identificato neppure il meccanismo di accesso iniziale; non è quindi noto come FamousSparrow sia riuscito a raggiungere per la prima volta ciascun ambiente preso di mira prima di distribuire la catena di side-loading.

Alla campagna non è associata alcuna vulnerabilità software o CVE. Di conseguenza, non risultano voci nel catalogo CISA Known Exploited Vulnerabilities, scadenze per la remediation o patch del fornitore collegate a SparroWocky. Si tratta di un problema di malware e rilevamento delle intrusioni, non di un caso convenzionale di gestione delle vulnerabilità.

L’ambito dei sistemi operativi interessati è Windows, ma non sono state rese note le edizioni e le versioni specifiche di Windows.

La manipolazione dei thread è progettata per ingannare gli strumenti sugli endpoint

Alcuni dei comportamenti più distintivi di SparroWocky prendono di mira la telemetria utilizzata dai prodotti di sicurezza degli endpoint per ricostruire l’avvio dell’esecuzione del codice.

La backdoor integra tecniche di spoofing dello stack delle chiamate e dell’origine della minaccia, oltre alla risoluzione dinamica delle API. Tenta inoltre di presentare il codice dannoso in memoria e le DLL caricate come componenti legittimi di Windows. Nel complesso, queste misure possono indebolire i rilevamenti che si basano su chiamate API riconoscibili, sulla provenienza sospetta della memoria o su catene di esecuzione anomale.

SparroWocky utilizza la libreria open source MinHook per intercettare la funzione Windows CreateThread. Durante la creazione legittima di un thread, il parametro lpStartAddress identifica l’indirizzo da cui il nuovo thread dovrebbe iniziare l’esecuzione. Gli strumenti di sicurezza possono esaminare questo valore per determinare se un thread viene avviato all’interno di un modulo affidabile, di un’area di memoria insolita o di codice iniettato.

Il malware nasconde l’lpStartAddress originale e fa apparire i propri thread come se iniziassero da AnimateWindow, una funzione legittima di Windows. Un prodotto di monitoraggio potrebbe quindi rilevare un’origine del thread apparentemente innocua invece del vero punto di ingresso del malware.

Questo non rende invisibile l’attività sottostante. Significa però che i difensori non dovrebbero considerare definitiva la funzione di avvio dichiarata da un thread senza esaminare anche l’allocazione della memoria, i confini dei moduli, gli stack delle chiamate, gli hook e il comportamento successivo.

ESET ha identificato almeno 18 indirizzi di comando e controllo che comunicavano con SparroWocky. Le connessioni avvenivano direttamente sulle porte TCP 443 o 8080, oppure tramite proxy HTTP e SOCKS5. Gli indirizzi specifici e gli altri indicatori di rete non sono stati resi pubblici nelle informazioni disponibili.

La persistenza cambia in base ai privilegi disponibili

SparroWocky seleziona il meccanismo di persistenza in base al livello di accesso ottenuto.

Con privilegi sufficienti, può installare un servizio Windows denominato:

ProcAuditManager

In alternativa, può creare un valore del Registro di sistema chiamato:

SnapCart

Il valore può trovarsi sotto HKLM o HKCU. L’uso di HKLM può garantire la persistenza a livello dell’intero computer, mentre HKCU offre un’opzione legata all’utente corrente quando non sono disponibili privilegi più elevati.

Entrambi i nomi sono utili come elementi di ricerca, ma nessuno dei due dovrebbe essere considerato una prova conclusiva se isolato dal contesto. Gli investigatori dovrebbero correlarli ai percorsi degli eseguibili associati, all’orario di creazione, al processo padre, alle DLL caricate, ai file .dat e all’attività di rete in uscita.

Il malware contiene anche funzioni di pulizia. Gli operatori possono rimuovere la persistenza ed eliminare i file di SparroWocky, riducendo potenzialmente le tracce lasciate dopo la raccolta dei dati o l’esecuzione dei comandi. Le organizzazioni dovrebbero quindi conservare, quando possibile, la telemetria relativa agli endpoint, al controllo dei servizi, al Registro di sistema, ai proxy e alla rete al di fuori dell’host interessato.

Perché la campagna rappresenta un serio rischio per l’intelligence

Gli obiettivi e gli strumenti utilizzati indicano un’attività di raccolta di informazioni, non una campagna di criminalità informatica indiscriminata. I sistemi governativi possono contenere comunicazioni diplomatiche, discussioni interne sulle politiche, documenti di pianificazione economica e informazioni sui negoziati con partner stranieri.

SparroWocky supporta contemporaneamente diversi percorsi di raccolta. Gli operatori possono sottrarre direttamente i documenti, monitorare l’attività tramite schermate frequenti, esaminare le sessioni degli utenti, eseguire moduli aggiuntivi in memoria e instradare il traffico attraverso macchine compromesse.

La funzionalità proxy solleva inoltre la possibilità che un endpoint infetto venga utilizzato per raggiungere altri servizi interni. Le informazioni disponibili non indicano se negli incidenti osservati si sia verificato un movimento laterale; non è quindi nota l’eventuale estensione della compromissione della rete.

ESET ha valutato gli sviluppatori come tecnicamente capaci, sulla base dell’architettura modulare del malware, della manipolazione degli elementi interni di Windows e delle ampie funzionalità anti-analisi. Queste caratteristiche sono coerenti con un’operazione di cyberspionaggio ben finanziata e condotta da soggetti esperti. Un rapporto tecnico sulla campagna FamousSparrow descrive inoltre SparroWocky come l’apparente successore di SparrowDoor.

Priorità di difesa negli ambienti Windows

Non sono state segnalate patch del fornitore né utility dedicate per la rimozione del malware. Le attività di difesa devono quindi concentrarsi sugli indicatori di compromissione di ESET, sulla ricerca basata sul comportamento, sul contenimento e sull’analisi forense.

I team di sicurezza dovrebbero importare gli IoC disponibili nelle piattaforme per endpoint, rete, proxy e SIEM. Il monitoraggio dovrebbe coprire il traffico in uscita sulle porte 443 e 8080, ma i numeri di porta da soli sono indicatori deboli, perché entrambe sono ampiamente utilizzate da servizi legittimi. È opportuno esaminare anche il comportamento dei proxy HTTP e SOCKS5 alla ricerca di destinazioni, processi e schemi di connessione insoliti.

Le analisi degli endpoint dovrebbero dare priorità a:

• Attività inattese di DLL side-loading che coinvolgono eseguibili legittimi, DLL sconosciute e payload .dat crittografati.
• Decrittazione RC4 seguita dall’allocazione di memoria eseguibile o dal caricamento diretto del payload.
• Esecuzione in memoria di Beacon Object Files.
• Creazione del servizio ProcAuditManager.
• Un valore di persistenza SnapCart sotto HKLM o HKCU.
• Hook applicati a CreateThread, in particolare tramite MinHook.
• Thread che risultano avviati da AnimateWindow quando il contesto della memoria e dello stack delle chiamate non corrisponde al normale comportamento di Windows.
• Processi avviati all’interno della sessione attiva di un altro utente.
• Acquisizione rapida di schermate e trasmissione ripetuta delle aree dello schermo modificate.
• Inoltro TCP o attività proxy HTTP o SOCKS5 proveniente da sistemi che normalmente non svolgono queste funzioni.
• Tentativi di rimuovere servizi, persistenza nel Registro di sistema, file di payload o altri artefatti di esecuzione.

Qualsiasi indicatore confermato dovrebbe avviare un’analisi più ampia, non una semplice eliminazione del file. I difensori devono determinare come è stato ottenuto l’accesso, quali account e sessioni sono stati esposti, quali file sono stati consultati, se l’host ha inoltrato traffico e se SparroWocky ha eseguito ulteriori componenti in memoria.

Poiché il vettore della compromissione iniziale resta sconosciuto, rimuovere la backdoor senza identificare il percorso di ingresso potrebbe lasciare l’ambiente esposto a un nuovo accesso.