SparroWocky é uma backdoor para Windows projetada para dar aos atacantes acesso oculto e de longo prazo a computadores comprometidos. Ele é escrito em C++ e está vinculado ao FamousSparrow, um grupo de ciberespionagem alinhado à China que realiza ataques desde pelo menos 2019.
O malware surgiu em agosto de 2025 como sucessor de uma porta dos fundos anterior chamada SparrowDoor. O SparroWocky tem sido usado principalmente em operações de espionagem direcionadas, em vez de ataques amplos contra usuários domésticos comuns. Organizações governamentais em vários países da América Latina têm sido alvos.
Uma vez que o SparroWocky está rodando, os atacantes podem controlar remotamente muitos aspectos do computador infectado. A backdoor suporta mais de 30 comandos, incluindo lançamento de programas, execução de comandos de shell, upload e download de arquivos, e gerenciamento de arquivos já armazenados no sistema.
Também pode examinar a máquina infectada e coletar informações como nome do computador, nome de usuário, domínio, endereços IP, versão do Windows, discos disponíveis, diretórios e sessões ativas de usuário. Esses detalhes ajudam os atacantes a entender o ambiente que comprometeram.
O SparroWocky também oferece capacidades de vigilância. Ele pode capturar capturas de tela com frequência de até 500 milissegundos. Em vez de transmitir repetidamente toda a tela, ele pode enviar apenas as partes que mudaram entre as capturas, reduzindo a quantidade de dados transferidos e ainda permitindo que os atacantes monitorem a atividade de perto.
A backdoor pode executar programas dentro da sessão de outro usuário logado e carregar arquivos adicionais de Beacon Object diretamente na memória. Isso oferece aos operadores uma forma de estender a funcionalidade do malware sem necessariamente instalar arquivos executáveis convencionais para cada tarefa adicional.
Outra capacidade transforma o computador comprometido em um proxy de rede. Atacantes podem rotear o tráfego TCP pela máquina infectada, potencialmente usando sua posição na rede para suportar atividades adicionais.
A comunicação com a infraestrutura de comando e controle do SparroWocky é criptografada. O malware pode se conectar diretamente ou se comunicar por meio de proxies HTTP e SOCKS5. Mensagens de comando individuais são protegidas adicionalmente usando criptografia RC4, com uma nova chave gerada para cada transmissão.
O SparroWocky também foi construído para permanecer em um computador comprometido. Dependendo de seus privilégios, ele pode instalar um serviço Windows chamado “ProcAuditManager” ou criar uma entrada de Execução do Registro chamada “SnapCart.” Esses mecanismos permitem que o malware inicie novamente após um reinício ou login do usuário.
Diversas técnicas são usadas para dificultar a detecção. O SparroWocky usa um método chamado SilentMoonwalk para criar pilhas de chamadas enganosas, fazendo com que atividades maliciosas pareçam ter se originado de threads legítimas do Windows. Também disfarça a criação de threads e resolve as funções da API do Windows dinamicamente, em vez de manter nomes de funções facilmente reconhecíveis em seu código.
Quando os atacantes decidem deixar um sistema comprometido, o SparroWocky pode remover seus mecanismos de persistência e excluir arquivos relacionados. Isso pode reduzir as evidências deixadas após uma operação.
O risco geral é significativo porque um computador infectado pode permanecer sob controle remoto secreto enquanto os atacantes coletam informações, monitoram atividades, roubam arquivos, executam ferramentas adicionais e usam a máquina como parte de operações adicionais da rede.
Como o SparroWocky infecta computadores
Os ataques SparroWocky documentados começaram com servidores Microsoft Exchange vulneráveis e acessíveis publicamente. Atacantes exploraram vulnerabilidades conhecidas do Proxy Logon em sistemas que não haviam recebido as atualizações de segurança necessárias.
Após obter acesso, os atacantes usaram DLL sideloading para implantar a backdoor. Essa técnica combina três componentes: um executável legítimo, uma DLL maliciosa e uma carga útil criptografada.
Quando o programa legítimo inicia, ele carrega a DLL maliciosa colocada junto a ela. A DLL então descriptografa o payload SparroWocky e o mapeia diretamente na memória do computador. Como resultado, a backdoor final não precisa aparecer no disco como um executável malicioso autônomo óbvio.
Essa abordagem baseada em memória, combinada com outras técnicas de evasão de defesa do SparroWocky, pode dificultar a identificação da infecção tanto para produtos de segurança quanto para administradores.
A medida defensiva mais importante contra o método de ataque documentado é manter os servidores voltados para a internet totalmente atualizados. Vulnerabilidades conhecidas em softwares como o Microsoft Exchange podem fornecer aos atacantes uma rota inicial para entrar em uma organização quando atualizações de segurança não foram aplicadas.
As organizações também devem monitorar servidores para carregamentos incomuns de DLLs, serviços inesperados, alterações suspeitas no Registro e conexões de rede inexplicadas. A presença de um serviço chamado “ProcAuditManager” ou de uma entrada Run chamada “SnapCart” pode ser relevante ao investigar uma suspeita de comprometimento SparroWocky, embora esses indicadores sozinhos não devam substituir uma investigação completa de segurança.
Backdoors, em geral, também podem ser distribuídos por meio de phishing direcionado, serviços de acesso remoto comprometidos e instaladores maliciosos. No entanto, esses não devem ser apresentados como métodos confirmados de entrega para a campanha SparroWocky documentada. A atividade confirmada envolveu a exploração de servidores vulneráveis do Exchange seguida de carregamento lateral de DLL.
Usuários e organizações devem manter Windows, softwares de servidor e outros aplicativos atualizados, restringir serviços acessíveis externamente desnecessários e usar ferramentas de segurança de endpoint confiáveis. Anexos, links e downloads de softwares inesperados também devem ser tratados com cautela.
Uma infecção confirmada por SparroWocky deve ser tratada como um incidente de segurança grave, e não apenas como a exclusão de um arquivo suspeito. Como a backdoor oferece acesso remoto extenso e pode transferir arquivos ou executar código adicional, os sistemas afetados podem precisar ser investigados para informações roubadas, malware adicional, credenciais comprometidas e outras atividades de atacantes que ocorreram enquanto o acesso estava disponível.