ESET berichtet über SparroWocky-Backdoor in FamousSparrow-Angriffen

Sicherheitsforscher von ESET haben eine bisher nicht gemeldete SparroWocky-Backdoor in Angriffen gegen Ziele in mehreren lateinamerikanischen Ländern dokumentiert. Eine Backdoor ist Schadsoftware, die einem Eindringling Fernsteuerung eines infizierten Computers ermöglicht, während sie versucht, vor dem Besitzer und vor Sicherheitstools verborgen zu bleiben. Der technische Bericht, der vor der Veröffentlichung mit The Hacker News geteilt wurde, stammt von den ESET-Forschern Alexandre Côté Cyr und Romain Dumont und besagt, dass die Malware seit mindestens August 2025 gegen Ziele in der Region eingesetzt wird.

ESET beschreibt SparroWocky als modulare Backdoor, die in C++ geschrieben ist, was bedeutet, dass sie aus separaten Teilen zusammengesetzt ist, die ihre Betreiber hinzufügen, entfernen oder ersetzen können, und sie ist in einer der am weitesten verbreiteten Sprachen für Windows-Software codiert. Die Forscher sagten, die Architektur der Malware und die von ihren Autoren gewählten Techniken deuteten auf starke Kenntnisse von Anti-Analyse-Tricks – den Methoden, mit denen Malware vermeidet, entdeckt und untersucht zu werden – und von Windows-Interna hin, den inneren Abläufen des Betriebssystems, das auf den meisten geschäftlichen Desktops und Servern läuft.

Das Tool wird einem Threat Actor zugeschrieben, dem Branchenbegriff für eine Person oder Gruppe, die Cyberangriffe durchführt, den ESET FamousSparrow nennt. Der Bericht beschreibt die Gruppe als staatlich gesponsert und mit China verbunden und schätzt, dass sie mindestens seit 2019 aktiv ist. ESET sagt, die Gruppe weise eine gewisse Überschneidung mit zwei anderen verfolgten Aktivitätsclustern auf, Earth Estries und Salt Typhoon. SparroWocky hat nun SparrowDoor als primäres Implantat der Gruppe ersetzt, den Begriff für den Teil einer Malware, der still auf dem Rechner eines Opfers bleibt und auf Befehle seiner Betreiber wartet. Der ungewöhnliche Name stammt aus frühen Versionen des Codes, die die erste Strophe von Jabberwocky enthielten, einem Nonsens-Gedicht des englischen Autors, Dichters und Mathematikers Lewis Carroll, das um 1855 geschrieben wurde.

SparroWocky kann eine breite Palette von Aufgaben ausführen, sobald es auf einem Rechner läuft. Es kann beliebige Dateien ausführen, also jedes Programm, das seine Betreiber senden möchten, als TCP-Proxy fungieren (ein Relay, das Verkehr durch den infizierten Rechner leitet, um beispielsweise andere Systeme im selben Netzwerk zu erreichen), und Befehle ausführen, die der Betreiber eingibt. Es kann allgemeine Informationen über den kompromittierten Computer und die IP-Adressen seiner Netzwerkschnittstellen sammeln, die numerischen Adressen, die ihn in einem Netzwerk identifizieren. Es kann auch Dateien exfiltrieren, was bedeutet, sie auf die Systeme der Angreifer zu kopieren, in regelmäßigen Abständen Screenshots erstellen, Dateioperationen wie Verschieben oder Löschen von Daten durchführen und sich schließlich selbst vom Host löschen, ein Schritt, der die Untersuchung des Eindringens danach erschwert.

Eine der bemerkenswerteren Erkenntnisse betrifft die Art und Weise, wie die Gruppe ihre Tools baut. SparroWocky stützt sich auf mehrere öffentliche Open-Source-Projekte, also Software, deren Code zur Wiederverwendung durch jedermann veröffentlicht ist. Es verwendet Mbed TLS, eine Bibliothek für verschlüsselte Verbindungen, um einen sicheren TLS-Kanal mit seinem Command-and-Control-Server unter 216.238.110[.]120 aufzubauen. Ein Command-and-Control-Server ist das entfernte System, das ein infizierter Rechner kontaktiert, um Anweisungen zu erhalten, und TLS ist dieselbe Verschlüsselungstechnologie, die den normalen Webverkehr schützt, hier verwendet, um bösartigen Verkehr unauffällig erscheinen zu lassen. Die Malware verwendet außerdem MinHook, um die Startadresse neu erstellter Threads (ein Thread ist eine kleine Arbeitseinheit innerhalb eines Programms) vor Sicherheitsprodukten zu verbergen, und einen COFF Loader, um zusätzliche Plugins als COFF-Objekte im Speicher zu laden und auszuführen, ein Windows-Format für kompilierten Code, sodass Komponenten ausgetauscht werden können, ohne Dateien auf die Festplatte zu schreiben. Sie verwendet eine Variante einer Technik namens SilentMoonwalk oder StackMoonwalk, um Call Stacks zu fälschen, die Kette von Funktionsaufrufen, die ein Programm hinterlässt, die von den MinHook-Routinen ausgeht.

"FamousSparrow verwendet weiterhin Open-Source-Offensiv-Tooling für seine eigenen bösartigen Zwecke", sagte ESET in dem Bericht. "Zuvor wurden diese Tools hauptsächlich neben der Backdoor der Gruppe eingesetzt. Mit SparroWocky können wir beobachten, dass sie auch über die Entwicklungsfähigkeiten verfügt, Open-Source-Code direkt in ihre eigene maßgeschneiderte Backdoor zu integrieren."

Obwohl sich die Malware-Familie geändert hat, sagt ESET, dass die zugrunde liegenden Techniken gleich geblieben sind. Wie bei SparrowDoor wird SparroWocky über eine DLL-Sideloading-Kette ausgelöst. Eine DLL ist eine Datei mit vorgefertigtem Code, die ein Windows-Programm lädt, wenn es zusätzliche Funktionen benötigt, und Sideloading bedeutet, ein vertrauenswürdiges Programm dazu zu bringen, eine bösartige DLL zu laden, die daneben platziert wurde. In dieser Kette wird eine legitime ausführbare Datei verwendet, um eine Loader-DLL zu starten, die dann die Hauptnutzlast entschlüsselt und startet, sodass der eigentliche bösartige Code nie in offensichtlich lesbarer Form auf einer Festplatte liegt. ESET sagt, der anfängliche Zugriffsvektor, also die Art und Weise, wie die Angreifer erstmals in diese Netzwerke gelangten, sei unbekannt.

FamousSparrow scheint seinen Fokus seit Juli 2025 auf hochkarätige Ziele in Lateinamerika geschärft zu haben. Laut ESET wurde die neue Backdoor gegen staatliche Einrichtungen in Argentinien, Ecuador, Guatemala, Honduras, Panama, Peru, Puerto Rico und Venezuela eingesetzt, und 90 Prozent der in der Telemetrie des Unternehmens erfassten Ziele der Gruppe, also der Daten, die es von Systemen sammelt, auf denen seine Produkte laufen, befanden sich in dieser Region. Das slowakische Cybersicherheitsunternehmen sagte, es sei unklar, ob der offensichtliche Fokus der Gruppe auf Lateinamerika ein formales geografisches Mandat widerspiegle oder ob er vorübergehend sei und von aktuellen geopolitischen Umständen getrieben werde.

Für Website-Betreiber, IT-Teams und Unternehmen außerhalb der Region ist die unmittelbare Relevanz die Technik und nicht die Zielliste. DLL-Sideloading missbraucht Software, der Nutzer bereits vertrauen, sodass es an Tools vorbeigleiten kann, die nur nach offensichtlich bösartigen Downloads suchen, und der Bericht nennt keine spezifische Software-Schwachstelle, die Organisationen einfach patchen können, weil der anfängliche Zugriffsweg noch unbestätigt ist. Das macht grundlegende Hygiene zur praktischen Antwort: Systeme und Anwendungen aktuell halten, begrenzen, was Mitarbeiter herunterladen und ausführen dürfen, und Sicherheitssoftware aktuell halten und überwachen. Organisationen, die Hilfe bei der Härtung ihrer eigenen Infrastruktur wünschen, können sich ansehen, was AEU-I als Security-First-IT, Infrastruktur und Beratung beschreibt, mit Details auf seiner Serviceseite.