Eine China-nahe Cyberspionagegruppe hat eine mächtige neue Windows-Hintertür eingeführt, die sich auf Angriffe auf Regierungsorganisationen in ganz Lateinamerika konzentriert.
Die Malware namens SparroWocky wird mit FamousSparrow, einer seit mindestens 2019 aktiven Spionagegruppe, in Verbindung gebracht. Researchers Wir haben das neue Tool bei Angriffen beobachtet, die bis August 2025 zurückreichen, als es begann, die ältere SparrowDoor-Malware der Gruppe zu ersetzen.
Jüngste Opfer wurden in Argentinien, Ecuador, Guatemala, Honduras, Panama, Peru, Puerto Rico und Venezuela identifiziert. Etwa 90 % der von Forschern seit Mitte 2025 beobachteten Ziele von FamousSparrow befanden sich in Lateinamerika.
Regierungsorganisationen scheinen ein Hauptfokus zu sein, obwohl die Gruppe historisch gesehen ein breiteres Spektrum von Opfern ins Visier genommen hat, darunter internationale Organisationen, Hotels, Ingenieurbüros, Fachverbände und Anwaltskanzleien.
Forscher glauben, dass FamousSparrows verstärkte Aufmerksamkeit für Lateinamerika mit Chinas Interesse an politischen und wirtschaftlichen Entwicklungen in der Region zusammenhängen könnte, insbesondere da der US-Druck auf chinesische Interessen zugenommen hat. Diese Einschätzung spiegelt eher die beobachtete Zielerfassung wider als die bestätigten Informationen über die Anweisungen an die Angreifer.
SparroWocky gibt seinen Betreibern umfassende Kontrolle über kompromittierte Windows-Computer. Angreifer können Befehle und Programme ausführen, Informationen über den infizierten Rechner und sein Netzwerk sammeln, Dateien und Verzeichnisse durchsuchen sowie Daten hoch- oder herunterladen. Die Schadsoftware kann außerdem Screenshots aufnehmen, Dateien manipulieren und Proxy-Verbindungen schaffen, die den Datenverkehr durch einen infizierten Computer fließen lassen.
Die Screenshot-Funktion ist darauf ausgelegt, unnötige Datenübertragungen zu reduzieren. Nach einer ersten Vollbildaufnahme kann SparroWocky die Anzeige alle 500 Millisekunden überwachen und nur Teile des Bildschirms senden, die sich verändert haben.
Die Backdoor kann Beacon Object Files auch direkt im Speicher ausführen. Dies ermöglicht es den Bedienern, zusätzliche Funktionen zu nutzen, die ursprünglich für Sicherheitstest-Frameworks entwickelt wurden, ohne unbedingt separate Tools auf herkömmliche Weise installieren zu müssen.
Forscher fanden mehrere Techniken, die darauf abzielen, die Malware für Sicherheitsprodukte und Analysten schwerer erkennen zu lassen. SparroWocky wird durch DLL-Sideloading geliefert, das eine legitime ausführbare Datei, eine modifizierte DLL und eine verschlüsselte Nutzlast umfasst. Der Loader entschlüsselt die Backdoor und legt sie direkt in den Speicher, anstatt die endgültige Malware auf die Festplatte zu schreiben.
Die Malware kann auch nach einem Neustart aktiv bleiben, indem sie einen Windows-Dienst erstellt oder sich selbst in die Registry einträgt. Sie manipuliert außerdem Aspekte des Windows-Prozess- und Threadverhaltens, um bösartige Aktivitäten für Überwachungstools legitimer erscheinen zu lassen.
Die Forscher identifizierten mindestens 18 Kommando- und Kontrolladressen, die mit der Operation verbunden sind. Die Kommunikation wurde hauptsächlich über Port 443 beobachtet, obwohl Port 8080 und Proxy-Infrastruktur ebenfalls verwendet wurden.
Frühe SparroWocky-Infektionen wurden über SparrowDoor installiert, was Forschern half, die neue Malware mit FamousSparrow zu verbinden. Trotz dieser Beziehung gilt SparroWocky als separate Malware-Familie und nicht nur als aktualisierte Version der älteren Backdoor.
Der Wechsel zu SparroWocky markiert eine bedeutende Veränderung im Werkzeugset von FamousSparrow, während die jüngste Zielerfassung eine starke Konzentration auf lateinamerikanische Organisationen zeigt. Forscher haben technische Indikatoren veröffentlicht, die mit der Kampagne verbunden sind, um Organisationen bei der Identifizierung potenzieller Infektionen zu unterstützen.