SparroWocky è una backdoor di Windows progettata per offrire agli aggressori accesso nascosto e a lungo termine a computer compromessi. È scritto in C++ ed è stato collegato a FamousSparrow, un gruppo di cyberspionaggio allineato con la Cina che conduce attacchi almeno dal 2019.
Il malware è emerso nell’agosto 2025 come successore di una precedente backdoor di FamousSparrow chiamata SparrowDoor. SparroWocky è stato utilizzato principalmente in operazioni di spionaggio mirate piuttosto che in attacchi generali contro utenti domestici comuni. Organizzazioni governative in diversi paesi dell’America Latina sono state tra i bersagli.
Una volta che SparroWocky è in esecuzione, gli attaccanti possono controllare da remoto molti aspetti del computer infetto. La backdoor supporta più di 30 comandi, tra cui avvio di programmi, esecuzione di comandi shell, caricamento e download di file e gestione dei file già memorizzati sul sistema.
Può anche esaminare la macchina infetta e raccogliere informazioni come nome del computer, nome utente, dominio, indirizzi IP, versione di Windows, unità disponibili, directory e sessioni utente attive. Questi dettagli aiutano gli attaccanti a comprendere l’ambiente che hanno compromesso.
SparroWocky offre anche capacità di sorveglianza. Può catturare screenshot con frequenza fino a ogni 500 millisecondi. Invece di trasmettere ripetutamente l’intero schermo, può inviare solo le porzioni che sono cambiate tra una cattura e l’altra, riducendo la quantità di dati trasferiti pur permettendo agli attaccanti di monitorare da vicino l’attività.
La backdoor può eseguire programmi all’interno della sessione di un altro utente loggato e caricare file Beacon Object aggiuntivi direttamente in memoria. Questo offre ai suoi operatori un modo per estendere la funzionalità del malware senza necessariamente installare file eseguibili convenzionali per ogni compito aggiuntivo.
Un’altra capacità trasforma il computer compromesso in un proxy di rete. Gli attaccanti possono instradare il traffico TCP attraverso la macchina infetta, potenzialmente usando la sua posizione di rete per supportare ulteriori attività.
La comunicazione con l’infrastruttura di comando e controllo di SparroWocky è criptata. Il malware può connettersi direttamente o comunicare tramite proxy HTTP e SOCKS5. I singoli messaggi di comando sono inoltre protetti tramite crittografia RC4 con una nuova chiave generata per ogni trasmissione.
SparroWocky è anche progettato per rimanere su un computer compromesso. A seconda dei suoi privilegi, può installare un servizio Windows chiamato “ProcAuditManager” o creare una voce Registry Run chiamata “SnapCart.” Questi meccanismi permettono al malware di ripartire dopo un riavvio o un login utente.
Vengono utilizzate diverse tecniche per rendere più difficile la rilevazione. SparroWocky utilizza un metodo chiamato SilentMoonwalk per creare pile di chiamate fuorvianti, facendo sembrare l’attività dannosa proveniente da thread legittimi di Windows. Maschera inoltre la creazione di thread e risolve dinamicamente le funzioni dell’API di Windows invece di mantenere i nomi delle funzioni facilmente riconoscibili nel suo codice.
Quando gli attaccanti decidono di lasciare un sistema compromesso, SparroWocky può rimuovere i suoi meccanismi di persistenza ed eliminare i file correlati. Questo può ridurre le prove lasciate dopo un’operazione.
Il rischio complessivo è significativo perché un computer infetto può rimanere sotto controllo remoto segreto mentre gli attaccanti raccolgono informazioni, monitorano attività, rubano file, esegueno strumenti aggiuntivi e utilizzano la macchina come parte di ulteriori operazioni di rete.
Come fa SparroWocky a infettare i computer
Gli attacchi documentati di SparroWocky sono iniziati con server Microsoft Exchange vulnerabili e accessibili pubblicamente. Gli attaccanti hanno sfruttato vulnerabilità note di ProxyLogon su sistemi che non avevano ricevuto gli aggiornamenti di sicurezza necessari.
Dopo aver ottenuto l’accesso, gli attaccanti utilizzavano il side-loading DLL per distribuire la backdoor. Questa tecnica combina tre componenti: un eseguibile legittimo, una DLL malevola e un payload cifrato.
Quando il programma legittimo si avvia, carica la DLL dannosa posta accanto ad esso. La DLL quindi decripta il payload di SparroWocky e lo mappa direttamente nella memoria del computer. Di conseguenza, la backdoor finale non deve necessariamente apparire sul disco come un eseguibile malevolo standalone ovvio.
Questo approccio basato sulla memoria, combinato con le altre tecniche di evasione difensiva di SparroWocky, può rendere l’infezione più difficile da identificare per i prodotti di sicurezza e gli amministratori.
La misura difensiva più importante contro il metodo di attacco documentato è mantenere i server rivolti a internet completamente aggiornati. Vulnerabilità note in software come Microsoft Exchange possono fornire agli attaccanti una via iniziale per entrare in un’organizzazione quando non sono stati applicati aggiornamenti di sicurezza.
Le organizzazioni dovrebbero anche monitorare i server per carichi DLL insoliti, servizi inaspettati, cambiamenti sospetti del Registro e connessioni di rete inspiegabili. La presenza di un servizio chiamato “ProcAuditManager” o di una voce Run chiamata “SnapCart” può essere rilevante nell’indagine su una sospetta compromessa di SparroWocky, anche se questi indicatori da soli non dovrebbero sostituire un’indagine di sicurezza completa.
Le backdoor in generale possono anche essere distribuite tramite phishing mirato, servizi di accesso remoto compromessi e installatori dannosi. Tuttavia, questi non dovrebbero essere presentati come metodi di consegna confermati per la campagna SparroWocky documentata. L’attività confermata ha coinvolto lo sfruttamento di server Exchange vulnerabili seguito dal side-loading DLL.
Utenti e organizzazioni dovrebbero mantenere aggiornati Windows, software server e altre applicazioni, limitare servizi accessibili esternamente inutili e utilizzare strumenti di sicurezza endpoint affidabili. Allegati, link e download software imprevisti dovrebbero essere trattati con cautela.
Un’infezione confermata da SparroWocky dovrebbe essere trattata come un grave incidente di sicurezza piuttosto che semplicemente come la cancellazione di un file sospetto. Poiché la backdoor offre un ampio accesso remoto e può trasferire file o eseguire codice aggiuntivo, i sistemi interessati potrebbero dover essere indagati per informazioni rubate, malware aggiuntivo, credenziali compromesse e altre attività di attaccanti avvenute mentre l’accesso era disponibile.