SparroWocky is een Windows-achterdeur die is ontworpen om aanvallers langdurige, verborgen toegang te geven tot gecompromitteerde computers. Het is geschreven in C++ en is gelinkt aan FamousSparrow, een aan China gelieerde cyberspionagegroep die sinds minstens 2019 aanvallen uitvoert.
De malware verscheen in augustus 2025 als opvolger van een eerdere FamousSparrow-achterdeur genaamd SparrowDoor. SparroWocky is voornamelijk gebruikt bij gerichte spionageoperaties in plaats van bij brede aanvallen op gewone thuisgebruikers. Overheidsorganisaties in verschillende Latijns-Amerikaanse landen behoren tot de doelwitten.
Zodra SparroWocky draait, kunnen aanvallers op afstand veel aspecten van de geïnfecteerde computer bedienen. De backdoor ondersteunt meer dan 30 commando’s, waaronder het opstarten van programma’s, het uitvoeren van shell-commando’s, het uploaden en downloaden van bestanden, en het beheren van bestanden die al op het systeem zijn opgeslagen.
Het kan ook de geïnfecteerde machine onderzoeken en informatie verzamelen zoals de computernaam, gebruikersnaam, domein, IP-adressen, Windows-versie, beschikbare schijven, mappen en actieve gebruikerssessies. Deze details helpen de aanvallers de omgeving die ze hebben gecompromitteerd te begrijpen.
SparroWocky biedt ook bewakingsmogelijkheden. Het kan screenshots maken tot wel elke 500 milliseconden. In plaats van herhaaldelijk het hele scherm te verzenden, kan het alleen delen sturen die tussen de opnames zijn veranderd, waardoor de hoeveelheid overgedragen data wordt verminderd en aanvallers de activiteit nog steeds nauwkeurig kunnen monitoren.
De backdoor kan programma’s uitvoeren binnen de sessie van een andere ingelogde gebruiker en extra Beacon Object Files direct in het geheugen laden. Dit geeft de operators een manier om de functionaliteit van de malware uit te breiden zonder per se conventionele uitvoerbare bestanden te installeren voor elke extra taak.
Een andere mogelijkheid verandert de gecompromitteerde computer in een netwerkproxy. Aanvallers kunnen TCP-verkeer via de geïnfecteerde machine leiden, mogelijk met gebruik van de netwerkpositie om verdere activiteit te ondersteunen.
Communicatie met de command-and-control-infrastructuur van SparroWocky is versleuteld. De malware kan direct verbinden of communiceren via HTTP- en SOCKS5-proxies. Individuele commandoberichten worden bovendien beschermd met RC4-encryptie waarbij voor elke transmissie een nieuwe sleutel wordt gegenereerd.
SparroWocky is ook gebouwd om op een gecompromitteerde computer te blijven. Afhankelijk van zijn rechten kan het een Windows-service installeren genaamd “ProcAuditManager” of een Registry Run-entry aanmaken genaamd “SnapCart.” Deze mechanismen maken het mogelijk om de malware opnieuw te starten na een herstart of gebruikersinlog.
Verschillende technieken worden gebruikt om detectie moeilijker te maken. SparroWocky gebruikt een methode genaamd SilentMoonwalk om misleidende aanroepstacks te creëren, waardoor kwaadaardige activiteiten lijken alsof ze afkomstig zijn van legitieme Windows-threads. Het verbergt ook threadcreatie en lost Windows API-functies dynamisch op in plaats van gemakkelijk herkenbare functienamen in de code te houden.
Wanneer aanvallers besluiten een gecompromitteerd systeem te verlaten, kan SparroWocky de persistentiemechanismen verwijderen en gerelateerde bestanden verwijderen. Dit kan het achterblijvende bewijs na een operatie verminderen.
Het totale risico is aanzienlijk omdat een geïnfecteerde computer onder geheime afstandsbediening kan blijven terwijl aanvallers informatie verzamelen, activiteiten monitoren, bestanden stelen, extra tools uitvoeren en de machine gebruiken als onderdeel van verdere netwerkoperaties.
Hoe infecteert SparroWocky computers
De gedocumenteerde SparroWocky-aanvallen begonnen met kwetsbare, publiek toegankelijke Microsoft Exchange-servers. Aanvallers maakten gebruik van bekende ProxyLogon-kwetsbaarheden op systemen die niet de benodigde beveiligingsupdates hadden ontvangen.
Na toegang gebruikten de aanvallers DLL-sideloading om de backdeur te activeren. Deze techniek combineert drie componenten: een legitiem uitvoerbaar bestand, een kwaadaardige DLL en een versleutelde payload.
Wanneer het legitieme programma start, laadt het de kwaadaardige DLL die ernaast is geplaatst. De DLL ontsleutelt vervolgens de SparroWocky-payload en mappt deze direct in het geheugen van de computer. Daardoor hoeft de laatste achterdeur niet op de schijf te verschijnen als een voor de hand liggende zelfstandige kwaadaardige uitvoerbare database.
Deze geheugengebaseerde aanpak, gecombineerd met andere verdedigingsontwijkingstechnieken van SparroWocky, kan de infectie moeilijker maken voor beveiligingsproducten en beheerders om te identificeren.
De belangrijkste verdedigingsmaatregel tegen de gedocumenteerde aanvalsmethode is het volledig gepatcht houden van servers die op internet gericht zijn. Bekende kwetsbaarheden in software zoals Microsoft Exchange kunnen aanvallers een eerste route naar een organisatie bieden wanneer beveiligingsupdates niet zijn toegepast.
Organisaties moeten servers ook monitoren op ongebruikelijke DLL-ladingen, onverwachte diensten, verdachte wijzigingen in het register en onverklaarbare netwerkverbindingen. De aanwezigheid van een dienst genaamd “ProcAuditManager” of een Run-invoer genaamd “SnapCart” kan relevant zijn bij het onderzoeken van een vermoedelijke SparroWocky-compromis, hoewel deze indicatoren op zichzelf geen volledige beveiligingscontrole mogen vervangen.
Backdoors kunnen in het algemeen ook worden verspreid via gerichte phishing, gecompromitteerde remote access-diensten en kwaadaardige installers. Deze mogen echter niet worden gepresenteerd als bevestigde leveringsmethoden voor de gedocumenteerde SparroWocky-campagne. De bevestigde activiteit betrof het uitbuiten van kwetsbare Exchange-servers gevolgd door DLL-sideloading.
Gebruikers en organisaties dienen Windows, serversoftware en andere applicaties up-to-date te houden, onnodige extern toegankelijke diensten te beperken en betrouwbare endpointbeveiligingstools te gebruiken. Onverwachte bijlagen, links en softwaredownloads moeten ook met voorzichtigheid worden behandeld.
Een bevestigde SparroWocky-infectie moet worden behandeld als een ernstig beveiligingsincident in plaats van simpelweg een verdachte bestand te verwijderen. Omdat de achterdeur uitgebreide externe toegang biedt en bestanden kan overdragen of extra code kan uitvoeren, moeten getroffen systemen mogelijk worden onderzocht op gestolen informatie, extra malware, gecompromitteerde inloggegevens en andere activiteit van aanvallers die plaatsvonden terwijl toegang beschikbaar was.