Salt Typhoon, SparroWocky arka kapısıyla Latin Amerika'yı hedef alıyor

ESET'teki siber güvenlik araştırmacıları, Çin destekli devlet aktörü Salt Typhoon'un mid-2025'ten 2026'ya kadar Latin Amerika'ya odaklandığını ve Arjantin, Ekvador, Guatemala, Honduras, Panama, Peru, Porto Riko ile Venezuela'yı hedef aldığını söylüyor. ESET, grubu yıllardır izliyor; grup en az 2019'dan beri Batı ülkelerindeki telekomünikasyon şirketlerine ve devlet kurumlarına yönelik saldırılarla ilişkilendirildi.

Araştırmacılar, Latin Amerika'daki faaliyetlerde SparroWocky adlı yeni geliştirilmiş bir arka kapı gözlemledi. ESET'e göre arka kapı; sistem profilleme, dosya dışarı aktarma ve ekran görüntüsü alma gibi işlevler için yaklaşık 30 komut içeriyor. Araştırmacılara göre Salt Typhoon'un son dönemdeki faaliyetlerinin yaklaşık %90'ı bölgeye ayrıldı.

ESET, Çin yapımı kötü amaçlı yazılımın Latin Amerika'da keşfedilmesini nadir görülen bir durum olarak tanımlıyor. ESET'in FamousSparrow adını verdiği grubun, yerel hükümetlerin güncel ABD baskısına vereceği tepkileri Çin'in izlemesine ve öngörmesine yardımcı olmaya çalıştığından şüpheleniliyor. Araştırmacılara göre ESET bu baskıyı Donald Trump'ın kıtaya yönelik yenilenen ilgisiyle ve ikinci başkanlık dönemiyle ilişkilendirdi; Çin'in enerji, madencilik ve telekomünikasyondaki uzun vadeli yatırımlarına da dikkat çekti.

Arka kapı, meşru bir çalıştırılabilir dosya, kötü amaçlı bir DLL ve şifrelenmiş kötü amaçlı yazılım içeren bir dosyadan oluşan trident loader adlı şema üzerinden dağıtılıyor. ESET, DLL'nin yan yüklenmesinin kötü amaçlı yazılımın tespit edilmeden dağıtılmasını sağlayabildiğini söylüyor.