Atividade do grupo e novos alvos
O grupo de espionagem FamousSparrow introduziu uma nova backdoor chamada SparroWocky após invadir servidores Microsoft Exchange públicos. A campanha mostra como um grupo de espionagem conhecido pode transformar um sistema de e-mail exposto em um ponto de entrada silencioso e de longo prazo dentro de uma rede governamental. O impacto se estende além do primeiro host, pois servidores de e-mail comumente mantêm mensagens sensíveis e conexões de rede confiáveis. A atividade tem se concentrado na América Latina desde meados de 2025, com governos na Argentina, Equador, Guatemala, Honduras, Panamá, Peru, Porto Rico e Venezuela entre os alvos observados.
Os pesquisadores registraram 90% dos alvos do grupo na região de meados de 2025 até 2026, marcando uma mudança acentuada de seu foco anterior mundial. Analistas da Welivesecurity identificaram o malware como a nova implantação principal do FamousSparrow, substituindo o SparrowDoor de agosto de 2025. O grupo, ativo desde pelo menos 2019, foi anteriormente associado a ataques explorando ProxyLogon.
Características técnicas da SparroWocky
A SparroWocky é uma backdoor modular em linguagem C projetada para sigilo e controle flexível do operador. Sua chegada importa porque combina roubo de dados e acesso remoto com técnicas destinadas a tornar a investigação e detecção mais difíceis. O grupo ganhou acesso inicial explorando servidores Exchange publicamente alcançáveis, de acordo com o mapeamento dos pesquisadores da intrusão. Esta é um perigo familiar para organizações que operam infraestrutura de correio local: uma única fraqueza voltada para a internet pode fornecer um ponto de apoio ao atacante antes que as proteções normais do usuário entrem em jogo.
O grupo usa um carregador de três partes composto por um executável legítimo, uma DLL maliciosa e um arquivo de carga criptografada. O executável carrega a biblioteca falsificada através de side-loading de DLL, permitindo que o código malicioso se misture a um programa confiável, uma técnica também vista em análises de backdoor silenciosa do Windows. O carregador descriptografa a carga e a mapeia diretamente na memória em vez de salvar a backdoor final em disco.
Persistência e capacidades de comando
O carregador pode estabelecer persistência através de um serviço do Windows ou uma chave de execução de Registro, coletando o nome do computador, detalhes de usuário e domínio, versão do Windows e endereços de interface de rede. Uma vez conectado, a SparroWocky pode executar comandos, mover ou remover arquivos, capturar telas e enviar material roubado através de seu canal de comando e controle. Ela também pode atuar como um proxy TCP, potencialmente dando aos operadores uma rota para alcançar outros sistemas a partir de um host comprometido.
A backdoor usa TLS para tráfego de comando e criptografia RC4 para conteúdo transmitido. Ela pode carregar Beacon Object Files, módulos compactos usados por ferramentas de equipe vermelha, dando aos operadores uma maneira de estender a implantação sem implantar um programa completo separado em disco. Os autores também incorporaram medidas para confundir o monitoramento de segurança, como disfarçar pilhas de chamada e localizar funções do Windows dinamicamente.
Indicadores de comprometimento e mitigação
Os indicadores de comprometimento (IoCs) incluem hashes SHA-1 de arquivos DLL como winfsp-x64.dll e DukeQt.dll, além de endereços IP de infraestrutura de comando e controle. As equipes devem caçar side-loading de DLL inesperado, novos serviços ou entradas de Registro, arquivos de carga suspeitos .dat e sessões TLS de saída incomuns para os endereços listados. A revisão dos logs do Exchange e IIS para atividade anormal é essencial.
A prioridade imediata é corrigir servidores Exchange voltados para a internet, remover ou restringir o acesso público desnecessário e verificar que os servidores executam builds suportadas e atuais. As equipes devem tratar o código de exploração pública e relatórios de exploração de servidor Exchange exposto como um lembrete para inventariar serviços externos. A organização deve fazer correções rápidas, verificações de exposição contínuas e caça pós-comprometimento partes rotineiras de seu plano de defesa.
Implicações para segurança governamental
Esta campanha ilustra uma mudança mais ampla na qual um grupo de intrusão comprovado está pareando espionagem regional direcionada com uma implantação personalizada mais capaz. Organizações que dependem de sistemas Exchange voltados para a internet devem priorizar a segurança de seus servidores de e-mail. A segmentação de rede e o monitoramento de tráfego de saída são críticos para detectar a comunicação com a infraestrutura de comando e controle do grupo. A colaboração com CERTs nacionais e compartilhamento de inteligência de ameaças são recomendados para mitigar o risco.