FamousSparrow, Latin Amerika’daki hükümet saldırılarında SparroWocky arka kapısını kullanıyor

ESET araştırmacılarına göre Çin bağlantılı casusluk grubu FamousSparrow, Latin Amerika’daki hükümet kuruluşlarına yönelik saldırılarda bir yılı aşkın süredir SparroWocky adlı yeni bir arka kapı kullanıyor.

ESET, kötü amaçlı yazılımı Arjantin, Ekvador, Guatemala, Honduras, Panama, Peru, Porto Riko ve Venezuela’daki kuruluşları hedef alan saldırılarda gözlemledi. Araştırmacılar, faaliyetin Latin Amerika hükümetlerinin Çin’in ekonomik çıkarları üzerindeki artan ABD baskısına verdiği tepkiler hakkında istihbarat toplamayı amaçladığına inanıyor. SparroWocky, grubun daha önce kullandığı SparrowDoor arka kapısının yerini aldı.

ESET, SparroWocky’yi açık kaynak projelerinden kod içeren modüler bir C++ arka kapısı olarak tanımlıyor. Kötü amaçlı yazılım, düşük seviyeli bellek yapılarını değiştirme ve çalışma zamanında kod yamalama gibi analizden kaçınma teknikleri kullanıyor. Bir yükleyici, .dat dosyasındaki RC4 ile kodlanmış yükü çözdükten ve kaçınmak için doğrudan belleğe yerleştirdikten sonra yazılım DLL side-loading yoluyla dağıtılıyor.

Kaçınma yöntemleri arasında çağrı yığını ve tehdit kaynağı sahteciliği, dinamik API çözümleme ve bellekteki kötü amaçlı kod ile DLL’leri meşru Windows bileşenleri gibi gösterme bulunuyor. SparroWocky, MinHook kütüphanesini kullanarak CreateThread işlevine kanca yerleştiriyor; böylece yeni iş parçacıkları güvenlik ürünlerine AnimateWindow ile başlıyor gibi görünüyor.

Arka kapı, kullanılabilir yetkilere bağlı olarak ProcAuditManager Windows hizmeti veya HKLM ya da HKCU altındaki SnapCart kayıt defteri anahtarıyla kalıcılık sağlıyor. ESET, 443 veya 8080 numaralı bağlantı noktaları üzerinden ya da HTTP ve SOCKS5 proxy’leri aracılığıyla iletişim kuran en az 18 C2 adresi buldu. ESET telemetrisi, FamousSparrow’un 2025’in ortasından bu yana ağırlıklı olarak Latin Amerika’ya odaklandığını gösteriyor.