Il gruppo di minaccia cinese FamousSparrow ha introdotto una nuova backdoor, SparroWocky, per colpire entità governative in America Latina. L'attacco sfrutta vulnerabilità note e mira a interessi strategici cinesi nella regione.
Il gruppo di minaccia informatica noto come FamousSparrow, associato alla Cina, ha recentemente sostituito il suo consolidato implant SparrowDoor con una nuova e più sofisticata backdoor denominata SparroWocky. Secondo le analisi di ESET Research, questa nuova minaccia è attiva almeno dall'agosto 2025 e ha preso di mira specificamente entità governative in diverse nazioni dell'America Latina.
Ciò che distingue questa campagna è il suo marcato orientamento geografico. ESET ha osservato che, tra la metà del 2025 e l'inizio del 2026, circa il 90% dei bersagli del gruppo tracciati nei suoi sistemi si trovava in America Latina. Questa focalizzazione quasi esclusiva sulla regione è considerata insolita per i gruppi allineati alla Cina, che solitamente operano su scala globale. Gli analisti di ESET ipotizzano che questa strategia possa essere una risposta diretta al rinnovato interesse degli Stati Uniti per l'America Latina, specialmente sotto la seconda amministrazione Trump. Tale interesse potrebbe potenzialmente minacciare gli investimenti cinesi consolidati nel corso degli anni in settori chiave come l'energia, le risorse minerarie e le telecomunicazioni.
Un caso emblematico a supporto di questa tesi riguarda un'entità panamense presa di mira, direttamente coinvolta in una disputa relativa a due importanti porti nell'area del Canale di Panama. La concessione di questi porti, precedentemente gestita da un'azienda cinese, era stata contestata dal governo panamense all'inizio del 2025.
ESET ha chiarito che SparroWocky non è una semplice variante di SparrowDoor, ma una famiglia di malware completamente nuova, sebbene ne erediti alcune funzionalità. Sviluppata in C++, questa backdoor modulare è in grado di eseguire una vasta gamma di azioni malevole: può eseguire comandi da remoto, lanciare file, agire come un proxy TCP per reindirizzare il traffico, raccogliere informazioni dettagliate sul sistema e sulla rete, esfiltrare file e catturare screenshot in modo ciclico. I dati esfiltrati vengono crittografati utilizzando l'algoritmo RC4 e trasmessi attraverso connessioni sicure TLS.
Una novità significativa è l'integrazione del supporto per i Beacon Object Files (BOF). Originariamente introdotti da Cobalt Strike, un popolare framework per attività di red teaming, i BOF sono ora inclusi direttamente nel codice di SparroWocky. Questo segna un cambiamento rispetto alle tattiche precedenti di FamousSparrow, che tendevano a utilizzare strumenti open-source in parallelo al proprio malware. Ora, il gruppo sembra preferire integrare queste capacità direttamente nei propri strumenti.
I creatori di SparroWocky hanno dedicato notevoli sforzi allo sviluppo di sofisticate tecniche di evasione per eludere il rilevamento da parte delle soluzioni di sicurezza. Il malware è in grado di modificare il proprio codice in memoria (runtime patching), falsificare gli stack di chiamate per far apparire le chiamate alle API di Windows come se provenissero da punti di ingresso legittimi dei thread, e intercettare la creazione di nuovi thread per mascherare i propri come processi innocui.
L'accesso iniziale alle reti delle vittime viene ottenuto sfruttando vulnerabilità note nei server Microsoft Exchange pubblicamente accessibili. Questo metodo di attacco, sebbene non nuovo, si dimostra ancora efficace contro organizzazioni che non hanno applicato tempestivamente le patch di sicurezza.
FamousSparrow è attivo almeno dal 2019 ed è stato documentato per la prima volta nel 2021 per aver sfruttato le vulnerabilità ProxyLogon sui server Exchange. Sebbene Trend Micro abbia collegato il gruppo a un'altra entità nota come Earth Estries, ESET ritiene che questo legame non sia ancora completamente compreso e continua a tracciare FamousSparrow separatamente da altri gruppi come Salt Typhoon, in assenza di indicatori tecnici univoci.
La scelta di concentrarsi sull'America Latina, secondo ESET, potrebbe essere una strategia a lungo termine legata agli interessi geopolitici ed economici della Cina, piuttosto che una tattica temporanea dettata dalle circostanze attuali.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
