SparroWocky, saldırganlara tehlikeye girmiş bilgisayarlara uzun süreli, gizli erişim sağlamak için tasarlanmış bir Windows arka kapısıdır. C++ dilinde yazılmış ve en az 2019’dan beri saldırılar yürüten Çin bağlantılı bir siber casusluk grubu FamousSparrow ile bağlantılıdır.
Bu kötü amaçlı yazılım, Ağustos 2025’te SparrowDoor adlı daha önceki FamousSparrow arka kapısının halefi olarak ortaya çıktı. SparroWocky, sıradan ev kullanıcılarına yönelik geniş saldırılar yerine öncelikle hedefli casusluk operasyonlarında kullanılmıştır. Birkaç Latin Amerika ülkesindeki devlet kuruluşları da hedefler arasındadır.
SparroWocky çalışırken saldırganlar enfekte olan bilgisayarın birçok yönünü uzaktan kontrol edebilir. Arka kapı, programları başlatma, kabuk komutlarını çalıştırma, dosya yükleme ve indirme ile sistemde zaten depolanmış dosyaları yönetme gibi 30’dan fazla komutu destekler.
Ayrıca enfekte makineyi inceleyebilir ve bilgisayar adı, kullanıcı adı, alan adı, IP adresleri, Windows sürümü, mevcut sürücüler, dizinler ve aktif kullanıcı oturumları gibi bilgileri toplayabilir. Bu detaylar, saldırganların tehlikeye girdikleri ortamı anlamalarına yardımcı olur.
SparroWocky ayrıca gözetim özellikleri de sunuyor. Her 500 milisaniyede bir ekran görüntüleri yakalayabiliyor. Tüm ekranı tekrar tekrar iletmek yerine, sadece yakalamalar arasında değişen bölümleri gönderebiliyor, aktarılan veri miktarını azaltırken saldırganların faaliyetleri yakından izlemesine olanak tanıyor.
Arka kapı, başka bir giriş yapmış kullanıcının oturumunda programları çalıştırabilir ve ek Beacon Nesne Dosyalarını doğrudan belleğe yükleyebilir. Bu, operatörlere her ek görev için geleneksel çalıştırılabilir dosyalar yüklemeden kötü amaçlı yazılımın işlevselliğini genişletme imkanı sunar.
Bir diğer yetenek, tehlikedeki bilgisayarı ağ proxy’sine dönüştürür. Saldırganlar, TCP trafiğini enfekte makine üzerinden yönlendirebilir ve potansiyel olarak ağ konumunu kullanarak daha fazla faaliyeti destekler.
SparroWocky’nin komut-kontrol altyapısıyla iletişim şifrelenmiştir. Kötü amaçlı yazılım doğrudan bağlanabilir veya HTTP ve SOCKS5 proxy’leri üzerinden iletişim kurabilir. Bireysel komut mesajları ayrıca her iletim için yeni bir anahtar oluşturulan RC4 şifreleme ile korunur.
SparroWocky ayrıca tehlikede olan bir bilgisayarda kalacak şekilde tasarlanmıştır. Ayrıcalıklarına bağlı olarak, “ProcAuditManager” adlı bir Windows servisi kurabilir veya “SnapCart” adlı bir Kayıt Çalıştırma girişi oluşturabilir. Bu mekanizmalar, zararlı yazılımın yeniden başlatma veya kullanıcı girişinden sonra yeniden başlamasına olanak tanır.
Tespit etmeyi zorlaştırmak için çeşitli teknikler kullanılır. SparroWocky, SilentMoonwalk adlı bir yöntem kullanarak yanlış çağrı yığınları oluşturur ve kötü amaçlı faaliyetlerin meşru Windows iş parçacıklarından kaynaklanmış gibi görünmesini sağlar. Ayrıca iş parçacağı oluşturmayı gizler ve Windows API fonksiyonlarını kolayca tanınabilir fonksiyon isimlerini kodunda tutmak yerine dinamik olarak çözer.
Saldırganlar tehlikeli bir sistemden ayrılmaya karar verdiklerinde, SparroWocky süreklilik mekanizmalarını kaldırabilir ve ilgili dosyaları silebilir. Bu, bir operasyon sonrası geride kalan kanıtları azaltabilir.
Genel risk önemlidir çünkü enfekte bir bilgisayar, saldırganlar bilgi toplarken, faaliyetleri izlerken, dosyaları çalarken, ek araçlar çalıştırır ve makineyi ağ operasyonlarının bir parçası olarak kullanırken, enfekte bir bilgisayar gizli uzaktan kumanda altında kalabilir.
SparroWocky bilgisayarları nasıl enfekte eder?
Belgelenen SparroWocky saldırıları, savunmasız ve halka açık Microsoft Exchange sunucularıyla başladı. Saldırganlar, gerekli güvenlik güncellemelerini almamış sistemlerdeki bilinen ProxyLogon açıklıklarını sömürdüler.
Erişim sağlandıktan sonra, saldırganlar arka kapıyı açmak için DLL yan yükleme kullandılar. Bu teknik, üç bileşeni birleştirir: meşru bir yürütülebilir dosya, kötü niyetli bir DLL ve şifreli bir yük.
Meşru program başladığında, yanında bulunan kötü amaçlı DLL’i yükler. DLL daha sonra SparroWocky yükünü şifrelerini çözer ve doğrudan bilgisayarın belleğine eşler. Sonuç olarak, son arka kapı diskte açıkça bağımsız kötü amaçlı bir çalıştırılabilir olarak görünmek zorunda değildir.
Bu bellek tabanlı yaklaşım, SparroWocky’nin diğer savunma kaçınma teknikleriyle birleştiğinde, güvenlik ürünleri ve yöneticiler için enfeksiyonu tanımlamayı zorlaştırabilir.
Belgelenmiş saldırı yöntemine karşı en önemli savunma önlemi, internete açık sunucuları tamamen yamalı tutmaktır. Microsoft Exchange gibi yazılımlarda bilinen zayıflıklar, güvenlik güncellemeleri uygulanmadığında saldırganlara bir organizasyona ilk giriş yolu sağlayabilir.
Kuruluşlar ayrıca sunucuları alışılmadık DLL yüklemeleri, beklenmedik hizmetler, şüpheli Kayıt Kayıt değişiklikleri ve açıklanamayan ağ bağlantıları açısından izlemelidir. “ProcAuditManager” adlı bir hizmetin veya “SnapCart” adlı bir Run girişinin varlığı, şüpheli bir SparroWocky tehlikesini araştırırken önemli olabilir, ancak bu göstergeler tek başına tam bir güvenlik soruşturmasının yerini tutmamalıdır.
Genel olarak arka kapılar ayrıca hedefli oltalama, tehlikeye girmiş uzaktan erişim hizmetleri ve kötü amaçlı kurulumcular aracılığıyla da dağıtılabilir. Ancak, bunlar belgelenmiş SparroWocky kampanyası için onaylanmış teslimat yöntemleri olarak sunulmamalıdır. Doğrulanan faaliyetler, savunmasız Exchange sunucularının sömürülmesini ve ardından DLL yan yüklemesini içeriyordu.
Kullanıcılar ve organizasyonlar Windows, sunucu yazılımı ve diğer uygulamaları güncel tutmalı, gereksiz dışarıdan erişilebilen hizmetleri kısıtlamalı ve güvenilir uç nokta güvenlik araçları kullanmalıdır. Beklenmedik ekler, bağlantılar ve yazılım indirmeleri de dikkatli ele alınmalıdır.
Onaylanmış bir SparroWocky enfeksiyonu, sadece şüpheli bir dosyayı silmek yerine ciddi bir güvenlik olayı olarak değerlendirilmelidir. Arka kapı kapsamlı uzaktan erişim sağladığı ve dosya aktarabilen veya ek kod çalıştırabildiği için, etkilenen sistemlerin çalınan bilgiler, ek kötü amaçlı yazılımlar, ele girmiş kimlik bilgileri ve erişim sağlandığı dönemde meydana gelen diğer saldırgan faaliyetleri açısından araştırılması gerekebilir.