Três grupos distintos de atividade maliciosa, que compartilham infraestrutura e apresentam semelhanças no código de malware, foram observados em ataques contra provedores de telecomunicações, órgãos governamentais, entidades militares, instituições de pesquisa e infraestruturas críticas na América Latina, na Ásia e na Europa ao longo do último ano.
A Check Point Research acompanha os grupos sob os nomes SilentDelivery, OceanGate e DarkWire. Inicialmente considerados conjuntos de ataques independentes, cada um com seus próprios backdoors e ferramentas de pós-exploração, eles foram associados a um ecossistema de malware chamado Sparrow.
A entidade responsável pelo framework Sparrow recebeu o codinome CopperDragon. A avaliação é de que ela atua como uma espécie de fornecedora de ferramentas digitais para grupos de ameaças ligados à China, entre eles FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 e UAT-8302.
“Cada grupo empregou um conjunto diferente de ferramentas e técnicas de acesso inicial, incluindo o comprometimento de infraestruturas expostas à internet e ataques altamente seletivos a sites frequentados pelos alvos”, afirmou a Check Point em um relatório técnico publicado hoje. “Os sites comprometidos usados nesses ataques estavam ligados aos setores governamental, de transporte marítimo, de tecnologia da informação e de pesquisa.”
Os ataques atribuídos ao FamousSparrow são conhecidos pela instalação de backdoors como SparrowDoor e suas variantes Crowdoor e TernDoor, além de SparroWocky e HemiGate. Também há indícios de alguma sobreposição com o Salt Typhoon, mas a natureza exata dessa relação ainda não está clara.
O ecossistema de espionagem digital associado à CopperDragon é composto por três grupos principais:
- **SilentDelivery**, ativo desde o início de 2026, realiza ataques altamente seletivos a sites frequentados por alvos na Europa e na Ásia. A campanha distribui um backdoor chamado SquadC, também conhecido como SquawkDoor, por meio de instaladores MSI adulterados que se passam por utilitários de reparo de certificados.
- **OceanGate**, ativo entre 2025 e 2026, concentra-se principalmente em organizações asiáticas. O grupo instala uma variante do SparrowDoor após obter acesso inicial por meio de servidores Linux expostos à internet e, em seguida, avançar lateralmente para ambientes Windows.
- **DarkWire**, ativo em meados de 2025, tem como alvo provedores de telecomunicações e órgãos governamentais na América Latina. O grupo instala os backdoors CopperDoor, também conhecido como SparroWocky, e CopperDNS.
SilentDelivery
A cadeia de ataque do SilentDelivery começa com a inserção de JavaScript fortemente ofuscado em sites legítimos frequentados pelos alvos. Ao acessar as páginas, os visitantes veem um alerta do Google Chrome sobre um certificado SSL e são instruídos a instalar um utilitário chamado “Certificate Fix” para restaurar o acesso.
Depois de instalado, o suposto utilitário entrega o SquadC ou uma variante do SparrowDoor. Os sites comprometidos identificados estão ligados aos setores governamental, de transporte marítimo, de tecnologia da informação e de pesquisa na República Tcheca, na Alemanha, na França, em Taiwan, no Nepal, em Hong Kong e na Indonésia.
Segundo um relatório publicado pela Positive Technologies em agosto de 2026, há indícios de que a campanha também tenha usado esse método contra entidades no Egito e nas Filipinas.
“O JavaScript inserido nos sites comprometidos é fortemente ofuscado com o jsjiami, um serviço público de ofuscação de JavaScript”, afirmou a Check Point. “Primeiro, ele verifica se o usuário está usando Windows e, em alguns casos, confirma se o domínio do site corresponde ao domínio comprometido pretendido.”
Em seguida, o script envia repetidamente solicitações de verificação de status a um servidor de comando e controle (C2). Com base no endereço IP e na localização geográfica, identifica o usuário e decide se deve prosseguir com o ataque e exibir o alerta falso.
Fonte: Positive Technologies
Escrito em C/C++, o SquadC é um backdoor para Windows que permite estabelecer um ponto de acesso inicial no computador infectado. Para manter a persistência, ele cria uma chave Run no Registro do Windows e se disfarça de assistente de atualização do sistema. Análises adicionais indicaram que o malware também é distribuído por e-mails de phishing direcionados a organizações indonésias.
A mensagem de phishing contém um atalho do Windows (LNK) disfarçado de documento PDF. Quando aberto, ele abusa do executável legítimo “ftp.exe” para executar um script em lote. O script exibe um arquivo vazio como isca e inicia o SquadC por meio do carregamento lateral de DLL.
OceanGate
A operação OceanGate foi observada em ambientes Windows e Linux. O grupo usa ferramentas até então não documentadas para manter o acesso, avançar lateralmente pela rede e exfiltrar dados sensíveis.
A etapa do ataque direcionada ao Linux envolve dois novos backdoors:
- **AnnobinDoor**, um backdoor escrito em Go que oferece acesso remoto, shell interativo, gerenciamento de arquivos, proxy SOCKS, tunelamento SSH, encaminhamento de portas e conexões reversas.
- **SparrowShell**, um backdoor modular para Linux que compartilha características com seu equivalente para Windows, o SparrowDoor.
“Depois de coletar credenciais de vários usuários e estabelecer uma presença sólida no ambiente Linux, o grupo avançou para o ambiente Windows”, explicou a Check Point. “O grupo tentou entrar em várias máquinas Windows por meio do RDP, testando diferentes senhas até conseguir se autenticar com uma conta de administrador.”
Na sequência, são instaladas ferramentas personalizadas de pós-exploração e uma variante do SparrowDoor:
- **CopperAdu**, ferramenta de pós-exploração que configura um computador Windows comprometido para permitir acesso administrativo remoto.
- **CopperList**, ferramenta de reconhecimento para Windows que coleta informações do computador, detalhes dos discos e um inventário recursivo de arquivos, incluindo caminhos, tamanhos e datas.
- **CopperLogger**, registrador de teclas baseado no Raw Input. Ele captura entradas do teclado e monitora a área de transferência, os títulos das janelas ativas e os nomes e caminhos dos processos associados.
- **CopperLsa**, utilitário que coleta senhas, hashes e tokens de autenticação relacionados a NTLM e Kerberos.
O grupo também incorporou rootkits de kernel e recursos de acesso nesse nível ao SparrowDoor e ao SparrowShell. Com isso, consegue ocultar processos para contornar as defesas e capturar e manipular pacotes de rede usando o driver WinDivert.
“O grupo abusou do driver para transformar o SparrowDoor em um backdoor passivo, capaz de interceptar e manipular pacotes no nível do kernel, tornando o tráfego menos visível”, afirmou a Check Point. “Isso permite que o backdoor fique à escuta em uma porta interna e receba conexões por uma porta acessível externamente, como a 443, já usada por um serviço legítimo.”
“O backdoor aplica um filtro rigoroso para interceptar conexões de um endereço IP de origem específico destinadas à porta do serviço legítimo. Ele manipula o pacote e altera a porta de destino para a porta interna de escuta do backdoor, geralmente uma porta alta, como a 49628. Nas respostas, altera novamente a porta de origem para a porta externa do serviço, fazendo com que pareçam vir do serviço legítimo.”
O SparrowShell também apresenta semelhanças de código e de infraestrutura com o malware Mélofée, descrito pela primeira vez pela ExaTrack em março de 2023 como baseado no rootkit de código aberto Reptile. Isso levantou a possibilidade de que a CopperDragon também esteja por trás do desenvolvimento e da distribuição do Mélofée.
DarkWire
O terceiro e último grupo concentra suas atividades na América Latina, com foco especial em operadoras de telecomunicações e órgãos governamentais. Os ataques levaram à instalação de dois backdoors identificados recentemente, CopperDoor e CopperDNS, que podem substituir o SparrowDoor.
As operações também contam com um conjunto de ferramentas personalizadas:
- **CopperLoader**, um carregador reflexivo geralmente executado por meio do carregamento lateral de DLL. Ele distribui outras ferramentas, incluindo CopperDoor, CopperDNS, CopperProxy e CopperLsass.
- **CopperDoor**, um backdoor modular que permanece na memória.
- **CopperDNS**, variante do CopperDoor que se comunica por tunelamento de DNS usando consultas MX.
- **CopperProxy**, um proxy SOCKS5.
- **PyProxy**, um retransmissor UDP leve escrito em Python.
- **CopperLsass**, módulo dedicado a despejar o processo LSASS para coletar credenciais.
“A operação depende fortemente do carregamento lateral de DLL como principal técnica de execução e costuma abusar de executáveis raramente observados em operações de outros grupos de ameaças”, afirmou a Check Point. “Para reduzir sua presença, os operadores evitam criar novos diretórios no disco e colocam as ferramentas em caminhos de sistema já existentes.”
“A infraestrutura do CopperDoor demonstra um nível mais elevado de segurança operacional. A maioria dos endereços IP estava na América Latina, muitas vezes no mesmo país da organização vítima. Essa proximidade provavelmente ajuda o tráfego malicioso a se misturar à atividade legítima da rede e reduz as chances de detecção.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...