Novo backdoor SparroWocky mira governos de oito países latino-americanos

O grupo de ciberespionagem FamousSparrow, associado à China, passou a utilizar um novo backdoor chamado SparroWocky em operações contra organizações governamentais da América Latina. Segundo pesquisadores da ESET, a ferramenta vem sendo implantada desde pelo menos agosto de 2025 e rapidamente substituiu o SparrowDoor como principal malware do grupo.

A campanha atingiu entidades governamentais na Argentina, Equador, Guatemala, Honduras, Panamá, Peru, Porto Rico e Venezuela. Entre meados de 2025 e 2026, cerca de 90% dos alvos do FamousSparrow identificados pela telemetria da ESET estavam na região, indicando uma mudança significativa em relação às operações globais anteriormente associadas ao grupo.

O FamousSparrow é acompanhado como um grupo de ciberespionagem alinhado à China e está ativo desde pelo menos 2019. Inicialmente conhecido por ataques contra hotéis, posteriormente ampliou seus alvos para governos, organizações internacionais, grupos comerciais, empresas de engenharia e escritórios de advocacia. A ESET também identifica relações com atividades atribuídas ao Earth Estries, enquanto as ligações públicas com o Salt Typhoon permanecem tratadas separadamente pela empresa por falta de indicadores técnicos suficientes para unificar os grupos.

A ESET atribui a nova campanha e o SparroWocky ao FamousSparrow com alta confiança. Entre as evidências está o fato de que, nos primeiros ataques envolvendo o novo malware, ele chegou a ser implantado pelo SparrowDoor, backdoor associado exclusivamente ao grupo. Os pesquisadores também identificaram tentativas de instalação do SparroWocky em organizações anteriormente atacadas com o SparrowDoor.

Tecnicamente, o SparroWocky é um backdoor modular desenvolvido em C++ e projetado para oferecer acesso remoto persistente enquanto dificulta sua identificação. O malware consegue executar arquivos e comandos, atuar como proxy TCP, realizar operações no sistema de arquivos, capturar screenshots periodicamente e exfiltrar dados. Também coleta informações como nome do computador, usuário, domínio, versão do Windows e endereços IP das interfaces de rede.

Os dados roubados são protegidos com RC4 e transmitidos por TLS para a infraestrutura de comando e controle (C2). Dependendo da configuração, o SparroWocky estabelece persistência criando um serviço do Windows ou adicionando uma entrada à chave Run do Registro. Os servidores C2 são acessados diretamente por endereços IP, principalmente pela porta 443, embora conexões pela porta 8080 também tenham sido observadas.

Outro aspecto destacado pela análise é a incorporação direta de projetos open source ao malware. O SparroWocky utiliza Mbed TLS para comunicação criptografada, MinHook para interferir na criação de threads e ocultar seus endereços iniciais de ferramentas de segurança, além de um COFF Loader que permite carregar e executar plugins diretamente na memória na forma de COFF/Beacon Object Files.

O malware também emprega uma variante de técnicas conhecidas como SilentMoonwalk ou StackMoonwalk para falsificar a call stack durante determinadas operações. Em conjunto com resolução dinâmica de APIs e manipulações de estruturas internas do Windows, essas técnicas procuram dificultar a análise e reduzir a visibilidade do código malicioso para soluções de segurança. Segundo a ESET, a arquitetura demonstra conhecimento avançado de mecanismos anti-análise e componentes internos do Windows.

A implantação mantém algumas características observadas anteriormente no SparrowDoor. O ataque utiliza DLL side-loading: um executável legítimo carrega uma DLL maliciosa, que posteriormente descriptografa e executa o payload principal. O vetor utilizado inicialmente pelos invasores para comprometer as organizações analisadas, porém, não foi determinado na investigação mais recente.

A mudança para o SparroWocky representa mais do que uma atualização do SparrowDoor. A ESET afirma que se trata de uma família de malware diferente, embora preserve conceitos e funcionalidades presentes na ferramenta anterior. A nova arquitetura também integra diretamente componentes open source que antes eram utilizados como ferramentas independentes durante as operações do grupo.

Sobre a concentração dos ataques na América Latina, os pesquisadores avaliam que ela pode estar relacionada ao aumento da disputa de interesses entre China e Estados Unidos na região. A ESET cita investimentos chineses de longo prazo em setores como energia, mineração e telecomunicações e considera possível que as operações tenham como objetivo obter informações sobre as respostas dos governos latino-americanos às iniciativas norte-americanas. Essa interpretação é uma avaliação dos pesquisadores, e ainda não está claro se o foco regional representa uma missão permanente do grupo ou uma mudança temporária motivada pelo contexto geopolítico.