В июле 2025 года исследователи ESET заметили, что FamousSparrow стал нацелен исключительно на правительственные организации в Латинской Америке. Чтобы справиться с новой задачей, в следующем месяце он отказался от одноименного бэкдора SparrowDoor в пользу вышеупомянутого вредоносного ПО SparroWocky. «Какое-то время мы думали, что это эксклюзивно для них, но за последние пару лет мы видели версии одного и того же — [вредоносного ПО], похоже, имеющего общего предка, используемого другими группами угроз. Так что одна из возможностей заключается в том, что, поскольку это вредоносное ПО сейчас широко распространено, его лучше обнаруживают», — говорит он. Новой игрушкой злоумышленников стала модульная программа на C++, развертываемая посредством загрузки неопубликованной библиотеки динамической компоновки (DLL). Чтобы оставаться незамеченным, FamousSparrow запускает свое вредоносное ПО в памяти, шифрует трафик управления и контроля (C2) и автоматизирует самоудаление. Это также включает в себя пару изящных трюков. «Подмена стека — это просто потрясающе», — говорит старший исследователь вредоносного ПО ESET Ромен Дюмон. «Тот факт, что они его использовали, доказал, что они действительно хотели избежать обнаружения». Подмена стека — это процесс вмешательства в стек вызовов потока, при котором потенциально конфиденциальные вызовы функций, сделанные вредоносной программой, могут выглядеть так, как будто они исходят из легальной программы. Еще одной полезной особенностью модульного SparroWocky является его способность включать файлы Beacon Object Files (BOF) — формат файлов, впервые представленный Cobalt Strike, который с тех пор был принят другими разработчиками тестирования на проникновение. Коте Сир отмечает: «Это позволяет им использовать многое из того, что создает сообщество наступательной безопасности — напрямую использовать эти модули, созданные для красной команды, и перепрофилировать их в своих собственных вредоносных программах».
Источник: Dark Reading — https://www.darkreading.com/cyberattacks-data-breaches/china-famoussparrow-spies-latin-america
Комментарии