Chinanahe Hackergruppe späht Regierungen in Lateinamerika aus

"Wir haben die neue Backdoor bei Angriffen auf Regierungsstellen in mehreren lateinamerikanischen Ländern gesehen. Diese starke Fokussierung auf eine Region ist bei den chinanahen APT-Gruppen, die wir verfolgen, selten", sagt ESET-Forscher Alexandre Côté Cyr, der die aktuelle Analyse durchgeführt hat.

Lateinamerika als Schwerpunkt

Seit Mitte 2025 und bis ins Jahr 2026 hinein entfielen 90 Prozent der von ESET beobachteten Ziele der Gruppe auf Lateinamerika. ESET sieht darin keinen Zufall. Die Forscher vermuten, dass FamousSparrow Informationen sammeln soll, mit denen sich politische und wirtschaftliche Reaktionen lateinamerikanischer Regierungen auf US-Initiativen in der Region besser einschätzen lassen. Kein Wunder, denn die könnte Chinas langfristige Investitionen bedrohen , die das Land im letzten Jahrzehnt auf dem gesamten Kontinent in Bereichen wie Energie, Bergbau und Telekommunikation aufgebaut hat.

In Panama beobachtete ESET unter anderem Angriffe auf eine Einrichtung, die mit einem Handelsstreit um zwei wichtige Häfen in der Kanalzone verbunden ist. Diese Häfen wurden bis vor kurzem von einem in China ansässigen Unternehmen betrieben. Nach Einschätzung der Forscher stützt dieser Fall die Annahme, dass FamousSparrow gezielt Informationen zu strategisch relevanten Entscheidungen lokaler Behörden sammeln wollte.

SparroWocky löst SparrowDoor ab

Nach Erkenntnissen von ESET hat FamousSparrow seine bisherige Backdoor SparrowDoor seit August 2025 weitgehend durch SparroWocky ersetzt. Die neue Schadsoftware ist keine Variante von SparrowDoor, sondern eine eigenständige Malware-Familie. SparroWocky wurde in C++ entwickelt und modular aufgebaut. Architektur und Implementierung zeigen ein tiefes Verständnis von Windows-Interna und Anti-Analyse-Techniken.

Die Backdoor kann Befehle ausführen, beliebige Dateien starten, als TCP-Proxy arbeiten, Dateien exfiltrieren und regelmäßig Screenshots erstellen. Sie sammelt außerdem Informationen über kompromittierte Systeme, darunter Computername, Benutzername, Domänenname, Windows-Version und IP-Adressen der Netzwerkschnittstellen. Exfiltrierte Daten werden mit RC4 verschlüsselt und über TLS übertragen.

Je nach Konfiguration richtet SparroWocky Persistenz über einen eigenen Windows-Dienst oder über einen Registry-Run-Key ein. Die Schadsoftware manipuliert zudem Low-Level-Strukturen im Arbeitsspeicher und patcht Code zur Laufzeit, um Analysewerkzeuge und Sicherheitssoftware zu täuschen.

Open-Source-Werkzeuge wandern direkt in die Malware

Auffällig ist aus Sicht der ESET-Forscher, dass FamousSparrow mit SparroWocky Open-Source-Code direkt in die eigene Backdoor integriert. Frühere Aktivitäten der Gruppe nutzten entsprechende Tools vor allem neben der eigentlichen Malware. Bei SparroWocky sind Teile dieser Funktionen nun Bestandteil des Implantats.

Dazu gehört die Fähigkeit, Beacon Object Files zu laden und auszuführen. Dieses Format wird von verschiedenen Red-Team- und Penetration-Testing-Werkzeugen unterstützt. Angreifer können damit bestehende Module innerhalb einer kompromittierten Umgebung ausführen, ohne sie als klassische Dateien auf dem System ablegen zu müssen.

ESET ordnet die aktuelle Kampagne und die Backdoor SparroWocky mit hoher Sicherheit FamousSparrow zu. In frühen Angriffen wurde SparroWocky über SparrowDoor ausgerollt, eine Backdoor, die ausschließlich FamousSparrow zugeschrieben wird. Auch die Opferauswahl passt zu früheren Aktivitäten der Gruppe. ESET registrierte zudem Versuche, SparroWocky bei Organisationen einzusetzen, die zuvor bereits mit SparrowDoor angegriffen worden waren.

Der Name SparroWocky geht auf eine Auffälligkeit in den ersten analysierten Samples zurück. Sie enthielten die erste Strophe von "Jabberwocky", einem Nonsens-Gedicht des englischen Autors Lewis Carroll. Nach Einschätzung der Forscher stammen diese Textfragmente wahrscheinlich aus Testvektoren einer Kryptografie-Bibliothek.

Über FamousSparrow FamousSparrow ist seit mindestens 2019 aktiv. ESET hatte die Gruppe erstmals im September 2021 öffentlich beschrieben, damals im Zusammenhang mit Angriffen über die ProxyLogon-Schwachstelle. Bekannt wurde FamousSparrow zunächst durch Angriffe auf Hotels weltweit. Später gerieten auch Regierungen, internationale Organisationen, Handelsverbände, Ingenieurbüros und Anwaltskanzleien ins Visier.

Weitere technische Details, Indikatoren für Kompromittierungen und eine vollständige Analyse veröffentlicht ESET Research im Beitrag "Neue Cyberattacken: FamousSparrow nimmt Lateinamerika ins Visier" auf WeLiveSecurity.com ( https://www.welivesecurity.com/de/uber-eset-research/neue-cyberattacken-famoussparrow-nimmt-lateinamerika-ins-visier ).

(Ende)

Aussender: ESET Deutschland GmbH Ansprechpartner: Michael Klatte Tel.: +49 3641 3114 257 E-Mail: michael.klatte@eset.de Website: www.eset.de