O grupo de espionagem FamousSparrow, patrocinado pelo Estado e alinhado à China, foi observado usando um backdoor até então não reportado, chamado SparroWocky, em ataques contra organizações governamentais da América Latina desde pelo menos agosto de 2025.
As descobertas mais recentes da ESET indicam que o grupo de ciberespionagem, que compartilha algum nível de sobreposição com Earth Estries e Salt Typhoon, substituiu o SparrowDoor pelo SparroWocky como seu principal implante. A avaliação é de que o threat actor está ativo desde pelo menos 2019.
Pesquisadores da ESET observaram o SparroWocky em ataques contra organizações na Argentina, no Equador, na Guatemala, em Honduras, no Panamá, no Peru, em Porto Rico e na Venezuela. A telemetria da empresa indica que, desde meados de 2025, cerca de 90% dos alvos registrados do grupo estão concentrados na região, com foco crescente em entidades de alto perfil na América Latina desde julho de 2025.
Segundo os pesquisadores, o objetivo do threat actor era coletar informações de inteligência sobre as respostas dos governos latino-americanos à crescente pressão dos Estados Unidos sobre interesses econômicos chineses. “Não está claro se o aparente foco do grupo na América Latina reflete um mandato geográfico formal ou se essa atenção é apenas temporária e ditada pelas circunstâncias geopolíticas atuais”, afirmou a empresa eslovaca de cibersegurança.
“O SparroWocky é um backdoor modular em C++”, disseram os pesquisadores de segurança da ESET, Alexandre Côté Cyr e Romain Dumont, em um relatório técnico compartilhado com o The Hacker News antes da publicação. “Sua arquitetura e as técnicas usadas por seus autores indicam forte conhecimento de truques de anti-análise e dos internos do Windows.”
O nome SparroWocky faz referência ao fato de que as primeiras versões do malware continham a primeira estrofe de Jabberwocky, um famoso poema sem sentido escrito pelo autor, poeta e matemático inglês Lewis Carroll por volta de 1855.
A análise da ESET mostra que o SparroWocky é uma backdoor modular em C++ de grande porte, que inclui código de projetos open source. O malware traz mecanismos de anti-análise, como a manipulação de estruturas de baixo nível na memória e a aplicação de patch em tempo de execução. Entre suas capacidades estão executar arquivos arbitrários e comandos, carregar e executar Beacon Object Files na memória, coletar detalhes do sistema, da rede, do usuário, do domínio, da versão do Windows e dos endereços IP das interfaces de rede, enumerar unidades, diretórios, arquivos, telas e sessões ativas de usuários, exfiltrar arquivos, capturar capturas de tela periódicas, criar processos na sessão de outro usuário conectado, operar como proxy TCP e remover sua persistência antes de apagar seus próprios arquivos.
De acordo com os pesquisadores, o malware é implantado por meio de DLL side-loading, depois que um loader descriptografa o payload codificado com RC4, armazenado em um arquivo .dat, e o mapeia diretamente na memória para dificultar a detecção. O vetor de acesso inicial usado nesses ataques ainda é desconhecido.
O malware também reúne vários mecanismos de evasão, incluindo falsificação da pilha de chamadas e da origem da ameaça, resolução dinâmica de API e camuflagem de código malicioso em memória e de DLLs como componentes legítimos do Windows.
Para se esconder de soluções de segurança, o SparroWocky intercepta o processo de criação de threads no Windows para alterar o endereço inicial. “O SparroWocky usa a biblioteca MinHook para fazer hook da função CreateThread, a fim de ocultar o parâmetro original lpStartAddress de produtos de segurança. Na prática, qualquer thread criada pelo SparroWocky teria AnimateWindow como endereço inicial, o que provavelmente seria considerado legítimo por um produto de segurança”, explica a ESET.
Além do MinHook, o malware utiliza Mbed TLS para estabelecer um canal de comunicação seguro com seu servidor de comando e controle (C2), identificado como 216.238.110[.]120, via TLS; COFF Loader, para permitir o carregamento dinâmico e a execução de plugins em memória na forma de objetos COFF; e uma variante do SilentMoonwalk, chamada StackMoonwalk, para falsificar pilhas de chamadas originadas de rotinas do MinHook.
“O FamousSparrow continua usando ferramentas ofensivas de código aberto para seus próprios fins maliciosos”, disse a ESET. “Antes, essas ferramentas eram usadas principalmente em paralelo com o backdoor do grupo. Com o SparroWocky, vemos que ele também tem capacidade de desenvolvimento para integrar código de código aberto diretamente em seu próprio backdoor personalizado.”
O SparroWocky estabelece persistência por meio de um serviço do Windows, identificado como ProcAuditManager, ou pela adição de uma chave no registro do Windows, chamada SnapCart, em HKLM ou HKCU, dependendo dos privilégios disponíveis.
Os pesquisadores observam que a arquitetura do malware e suas técnicas de evasão indicam forte conhecimento de truques de anti-análise e dos internals do Windows, o que está alinhado à atribuição a um grupo de ameaça experiente e bem financiado.
Durante a análise dos ataques, a ESET encontrou pelo menos 18 endereços de command and control (C2) que se comunicavam com o malware diretamente pela porta 443 ou 8080, ou por meio de proxies HTTP e SOCKS5.
A ESET inclui uma análise técnica da backdoor SparroWocky e também reúne uma lista de indicadores de comprometimento (IoCs) associados a essa atividade.
Publicidade
Exclusivo para leitores do CaveiraTech, de R$ 89 por R$ 49/mês, para sempre. Hospedado em São Paulo com AntiDDoS, backup grátis e BGP grátis. Use Linux, Windows ou BSDs. Valide seu projeto agora sem dor de cabeça, sem IOF e com pagamentos via Pix. Ativação em 120s. Saiba mais...