Um grupo de ciberespionagem alinhado à China introduziu uma poderosa nova porta dos fundos Windows em ataques concentrados contra organizações governamentais em toda a América Latina.
O malware, chamado SparroWocky, foi ligado ao FamousSparrow, um grupo de espionagem que opera desde pelo menos 2019. Researchers observaram a nova ferramenta em ataques desde agosto de 2025, quando começou a substituir o malware SparrowDoor mais antigo do grupo.
Vítimas recentes foram identificadas na Argentina, Equador, Guatemala, Honduras, Panamá, Peru, Porto Rico e Venezuela. Cerca de 90% dos alvos do FamousSparrow observados por pesquisadores desde meados de 2025 foram localizados na América Latina.
Organizações governamentais parecem ser um foco principal, embora o grupo historicamente tenha mirado uma gama maior de vítimas, incluindo organizações internacionais, hotéis, empresas de engenharia, grupos comerciais e escritórios de advocacia.
Pesquisadores acreditam que a maior atenção do FamousSparrow à América Latina pode estar relacionada ao interesse da China em desenvolvimentos políticos e econômicos na região, especialmente à medida que a pressão dos EUA sobre os interesses chineses aumentou. Essa avaliação reflete o alvo observado, e não informações confirmadas sobre instruções dadas aos atacantes.
O SparroWocky dá aos seus operadores amplo controle sobre computadores Windows comprometidos. Atacantes podem executar comandos e programas, coletar informações sobre a máquina infectada e sua rede, navegar por arquivos e diretórios, e enviar ou baixar dados. O malware também pode capturar capturas de tela, manipular arquivos e criar conexões proxy que permitem a passagem de tráfego por um computador infectado.
Sua capacidade de captura de tela é projetada para reduzir transferências desnecessárias de dados. Após uma captura inicial em tela inteira, o SparroWocky pode monitorar a tela a cada 500 milissegundos e enviar apenas partes da tela que mudaram.
A backdoor também pode executar arquivos de objeto Beacon diretamente na memória. Isso permite que seus operadores utilizem capacidades adicionais originalmente desenvolvidas para frameworks de testes de segurança sem necessariamente instalar ferramentas separadas de forma convencional.
Pesquisadores encontraram várias técnicas destinadas a tornar o malware mais difícil de detectar para produtos de segurança e analistas. SparroWocky é entregue por meio de carregamento lateral de DLLs, envolvendo um executável legítimo, uma DLL modificada e uma carga útil criptografada. O loader descriptografa a backdoor e a coloca diretamente na memória, em vez de gravar o malware final no disco.
O malware pode permanecer ativo após uma reinicialização criando um serviço Windows ou se adicionando ao Registro. Também manipula aspectos do comportamento dos processos e threads do Windows na tentativa de tornar a atividade maliciosa mais legítima para as ferramentas de monitoramento.
Pesquisadores identificaram pelo menos 18 endereços de comando e controle associados à operação. Comunicações foram observadas principalmente pela porta 443, embora a porta 8080 e a infraestrutura proxy também tenham sido usadas.
As primeiras infecções por SparroWocky foram instaladas através do SparrowDoor, ajudando pesquisadores a conectar o novo malware ao FamousSparrow. Apesar dessa relação, o SparroWocky é considerado uma família de malware separada, e não apenas uma versão atualizada do backdoor mais antigo.
A mudança para o SparroWocky marca uma mudança significativa no conjunto de ferramentas do FamousSparrow, enquanto seu recente direcionamento mostra uma forte concentração em organizações latino-americanas. Pesquisadores divulgaram indicadores técnicos associados à campanha para ajudar organizações a identificar possíveis infecções.