Jena (OTS) – Die China-nahe APT-Gruppe FamousSparrow setzt seit
mindestens August
2025 eine neue Backdoor gegen hochrangige Ziele in Lateinamerika ein.
ESET Research beobachtete die Schadsoftware SparroWocky unter anderem
bei Angriffen auf Regierungsorganisationen in Argentinien, Ecuador,
Guatemala, Honduras, Panama, Peru, Puerto Rico und Venezuela. Seit
Mitte 2025 lagen 90 Prozent der in der ESET-Telemetrie registrierten
FamousSparrow-Ziele in der Region. Nach Einschätzung des IT-
Sicherheitsherstellers dürfte die Kampagne dazu dienen, Reaktionen
lateinamerikanischer Regierungen auf das stärkere Engagement der USA
in der Region auszuspähen.
„Wir haben die neue Backdoor bei Angriffen auf Regierungsstellen
in mehreren lateinamerikanischen Ländern gesehen. Diese starke
Fokussierung auf eine Region ist bei den China-nahen APT-Gruppen, die
wir verfolgen, selten“, sagt ESET-Forscher Alexandre Côté Cyr, der
die aktuelle Analyse durchgeführt hat.
Lateinamerika als Schwerpunkt
Seit Mitte 2025 und bis ins Jahr 2026 hinein entfielen 90 Prozent
der von ESET beobachteten Ziele der Gruppe auf Lateinamerika. ESET
sieht darin keinen Zufall. Die Forscher vermuten, dass FamousSparrow
Informationen sammeln soll, mit denen sich politische und
wirtschaftliche Reaktionen lateinamerikanischer Regierungen auf US-
Initiativen in der Region besser einschätzen lassen. Kein Wunder,
denn die könnte Chinas langfristige Investitionen bedrohen , die das
Land im letzten Jahrzehnt auf dem gesamten Kontinent in Bereichen wie
Energie, Bergbau und Telekommunikation aufgebaut hat.
In Panama beobachtete ESET unter anderem Angriffe auf eine
Einrichtung, die mit einem Handelsstreit um zwei wichtige Häfen in
der Kanalzone verbunden ist. Diese Häfen wurden bis vor kurzem von
einem in China ansässigen Unternehmen betrieben. Nach Einschätzung
der Forscher stützt dieser Fall die Annahme, dass FamousSparrow
gezielt Informationen zu strategisch relevanten Entscheidungen
lokaler Behörden sammeln wollte.
SparroWocky löst SparrowDoor ab
Nach Erkenntnissen von ESET hat FamousSparrow seine bisherige
Backdoor SparrowDoor seit August 2025 weitgehend durch SparroWocky
ersetzt. Die neue Schadsoftware ist keine Variante von SparrowDoor,
sondern eine eigenständige Malware-Familie. SparroWocky wurde in C++
entwickelt und modular aufgebaut. Architektur und Implementierung
zeigen ein tiefes Verständnis von Windows-Interna und Anti-Analyse-
Techniken.
Die Backdoor kann Befehle ausführen, beliebige Dateien starten,
als TCP-Proxy arbeiten, Dateien exfiltrieren und regelmäßig
Screenshots erstellen. Sie sammelt außerdem Informationen über
kompromittierte Systeme, darunter Computername, Benutzername,
Domänenname, Windows-Version und IP-Adressen der
Netzwerkschnittstellen. Exfiltrierte Daten werden mit RC4
verschlüsselt und über TLS übertragen.
Je nach Konfiguration richtet SparroWocky Persistenz über einen
eigenen Windows-Dienst oder über einen Registry-Run-Key ein. Die
Schadsoftware manipuliert zudem Low-Level-Strukturen im
Arbeitsspeicher und patcht Code zur Laufzeit, um Analysewerkzeuge und
Sicherheitssoftware zu täuschen.
Open-Source-Werkzeuge wandern direkt in die Malware
Auffällig ist aus Sicht der ESET-Forscher, dass FamousSparrow mit
SparroWocky Open-Source-Code direkt in die eigene Backdoor
integriert. Frühere Aktivitäten der Gruppe nutzten entsprechende
Tools vor allem neben der eigentlichen Malware. Bei SparroWocky sind
Teile dieser Funktionen nun Bestandteil des Implantats.
Dazu gehört die Fähigkeit, Beacon Object Files zu laden und
auszuführen. Dieses Format wird von verschiedenen Red-Team- und
Penetration-Testing-Werkzeugen unterstützt. Angreifer können damit
bestehende Module innerhalb einer kompromittierten Umgebung
ausführen, ohne sie als klassische Dateien auf dem System ablegen zu
müssen.
ESET ordnet die aktuelle Kampagne und die Backdoor SparroWocky
mit hoher Sicherheit FamousSparrow zu. In frühen Angriffen wurde
SparroWocky über SparrowDoor ausgerollt, eine Backdoor, die
ausschließlich FamousSparrow zugeschrieben wird. Auch die
Opferauswahl passt zu früheren Aktivitäten der Gruppe. ESET
registrierte zudem Versuche, SparroWocky bei Organisationen
einzusetzen, die zuvor bereits mit SparrowDoor angegriffen worden
waren.
Der Name SparroWocky geht auf eine Auffälligkeit in den ersten
analysierten Samples zurück. Sie enthielten die erste Strophe von
„Jabberwocky“, einem Nonsens-Gedicht des englischen Autors Lewis
Carroll. Nach Einschätzung der Forscher stammen diese Textfragmente
wahrscheinlich aus Testvektoren einer Kryptografie-Bibliothek.
Über FamousSparrow
FamousSparrow ist seit mindestens 2019 aktiv. ESET hatte die
Gruppe erstmals im September 2021 öffentlich beschrieben, damals im
Zusammenhang mit Angriffen über die ProxyLogon-Schwachstelle. Bekannt
wurde FamousSparrow zunächst durch Angriffe auf Hotels weltweit.
Später gerieten auch Regierungen, internationale Organisationen,
Handelsverbände, Ingenieurbüros und Anwaltskanzleien ins Visier.
Weitere technische Details, Indikatoren für Kompromittierungen
und eine vollständige Analyse veröffentlicht ESET Research im Beitrag
„Neue Cyberattacken: FamousSparrow nimmt Lateinamerika ins Visier“
auf WeLiveSecurity.com .
