El grupo FamousSparrow apuntó a organizaciones de gobierno en Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela, buscando inteligencia sobre las respuestas latinoamericanas a la presión de EEUU sobre China. (Fuente: BleepingComputer)
El grupo de espionaje vinculado a China conocido como FamousSparrow viene usando una nueva puerta trasera llamada SparroWocky en ataques contra organizaciones de gobierno en América Latina. Las operaciones vienen en curso desde hace más de un año, con el nuevo malware reemplazando a la puerta trasera personalizada SparrowDoor que se usaba anteriormente.
Investigadores de ESET observaron a SparroWocky en ataques que apuntaban a organizaciones en Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. Los investigadores creen que el objetivo del actor de amenaza era recolectar inteligencia sobre las respuestas de los gobiernos latinoamericanos frente a la creciente presión de Estados Unidos sobre los intereses económicos chinos.
El análisis de ESET reveló que SparroWocky es una puerta trasera modular en C++ que incluye código de proyectos de código abierto. El malware cuenta con mecanismos antianálisis, como manipular estructuras de bajo nivel en memoria y aplicar parches al código en tiempo de ejecución. Entre sus capacidades se incluyen ejecutar comandos y archivos ejecutables, cargar y ejecutar archivos de objeto beacon en memoria, recolectar detalles del sistema, red, usuario, dominio y versión de Windows, enumerar unidades, directorios, archivos, pantallas y sesiones de usuario activas, subir, descargar, copiar, mover, renombrar y eliminar archivos, capturar capturas de pantalla cada 500 milisegundos transmitiendo solo las regiones modificadas, crear procesos en la sesión de otro usuario con sesión iniciada, operar como proxy TCP y reenviar conexiones, y eliminar su propia persistencia y archivos.
Según los investigadores, el malware se despliega a través de carga lateral de DLL, después de que un cargador desencripta la carga codificada en RC4 contenida en un archivo .dat y la mapea directamente en memoria para evadir la detección. El malware cuenta con varios mecanismos de evasión, incluida la suplantación de pila de llamadas y origen de la amenaza, resolución dinámica de API, y el disfraz de código malicioso en memoria y DLL como componentes legítimos de Windows.
Para esconderse de las soluciones de seguridad, SparroWocky intercepta el proceso de creación de hilos de Windows para alterar la dirección de inicio. Según ESET, el malware usa una librería conocida para interceptar la función de creación de hilos, de modo que cualquier hilo creado por SparroWocky aparente tener un origen legítimo del sistema, lo que probablemente sea considerado legítimo por un producto de seguridad.
SparroWocky establece persistencia ya sea a través de un servicio de Windows o agregando una clave de registro de Windows, dependiendo de los privilegios disponibles. Los investigadores señalan que la arquitectura del malware y sus técnicas de evasión indican un fuerte conocimiento de trucos antianálisis e internos de Windows, algo que coincide con su atribución a un grupo de amenaza bien financiado y experimentado.
Mientras analizaban los ataques, ESET encontró al menos 18 direcciones de comando y control comunicándose con el malware directamente a través de los puertos 443 u 8080, o a través de proxies HTTP y SOCKS5. La telemetría de ESET indica que desde mediados de 2025, el foco de FamousSparrow estuvo principalmente en objetivos de la región de América Latina.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.
Descubre más desde
Suscríbete y recibe las últimas entradas en tu correo electrónico.