Un groupe de cyberespionnage aligné sur la Chine a introduit une nouvelle porte dérobée Windows puissante dans les attaques visant des organisations gouvernementales à travers l’Amérique latine.
Le malware, nommé SparroWocky, a été lié à FamousSparrow, un groupe d’espionnage actif depuis au moins 2019. Researchers ont observé ce nouvel outil dans des attaques depuis août 2025, lorsqu’il a commencé à remplacer l’ancien malware SparrowDoor du groupe.
Des victimes récentes ont été identifiées en Argentine, en Équateur, au Guatemala, au Honduras, au Panama, au Pérou, à Porto Rico et au Venezuela. Environ 90 % des cibles de FamousSparrow observées par les chercheurs depuis la mi-2025 ont été localisées en Amérique latine.
Les organisations gouvernementales semblent être un centre d’intérêt majeur, bien que le groupe ait historiquement ciblé un éventail plus large de victimes, y compris des organisations internationales, des hôtels, des entreprises d’ingénierie, des groupes professionnels et des cabinets d’avocats.
Les chercheurs estiment que l’attention accrue de FamousSparrow envers l’Amérique latine pourrait être liée à l’intérêt de la Chine pour les développements politiques et économiques dans la région, d’autant plus que la pression américaine sur les intérêts chinois a augmenté. Cette évaluation reflète les ciblages observés plutôt que les informations confirmées sur les instructions données aux assaillants.
SparroWocky donne à ses opérateurs un contrôle étendu sur des ordinateurs Windows compromis. Les attaquants peuvent exécuter des commandes et des programmes, collecter des informations sur la machine infectée et son réseau, parcourir fichiers et répertoires, et télécharger ou télécharger des données. Le malware peut également capturer des captures d’écran, manipuler des fichiers et créer des connexions proxy permettant au trafic de passer par un ordinateur infecté.
Sa capacité de capture d’écran est conçue pour réduire les transferts de données inutiles. Après une première capture en plein écran, SparroWocky peut surveiller l’affichage toutes les 500 millisecondes et n’envoyer que les parties de l’écran qui ont changé.
La porte dérobée peut également exécuter directement les fichiers objets de balises en mémoire. Cela permet à ses opérateurs d’utiliser des capacités supplémentaires initialement développées pour les cadres de test de sécurité sans nécessairement installer des outils séparés de manière conventionnelle.
Les chercheurs ont découvert plusieurs techniques destinées à rendre le malware plus difficile à détecter pour les produits de sécurité et les analystes. SparroWocky est livré via un chargement latéral DLL impliquant un exécutable légitime, une DLL modifiée et une charge utile chiffrée. Le chargeur déchiffre la porte dérobée et la place directement en mémoire plutôt que d’écrire le malware final sur le disque.
Le malware peut rester actif après un redémarrage en créant un service Windows ou en s’ajoutant au Registre. Il manipule également certains aspects du comportement des processus et des threads Windows afin de rendre les activités malveillantes plus légitimes aux outils de surveillance.
Les chercheurs ont identifié au moins 18 adresses de commandement et de contrôle associées à l’opération. Les communications ont été principalement observées via le port 443, bien que le port 8080 et l’infrastructure proxy aient également été utilisés.
Les premières infections de SparroWocky ont été installées via SparrowDoor, aidant les chercheurs à connecter le nouveau malware à FamousSparrow. Malgré cette relation, SparroWocky est considéré comme une famille de malwares distincte plutôt qu’une simple version mise à jour de l’ancienne porte dérobée.
Le passage à SparroWocky marque un changement significatif dans l’arsenal de FamousSparrow, tandis que son ciblage récent montre une forte concentration sur les organisations latino-américaines. Les chercheurs ont publié des indicateurs techniques associés à la campagne pour aider les organisations à identifier les infections potentielles.