Die Auslieferung von SparroWocky erfolgt nach Angaben von ESET über DLL-Side-Loading: Ein Loader entschlüsselt eine mit RC4 kodierte Nutzlast, die in einer .dat-Datei steckt, und bildet sie direkt im Arbeitsspeicher ab. Ein Ablegen auf der Festplatte entfällt damit — ein Schritt, der die Entdeckung erschweren soll.
Die Backdoor kombiniert mehrere Verschleierungstechniken. Dazu zählen das Fälschen von Aufrufstapel und Thread-Ursprung, das dynamische Auflösen von API-Funktionen sowie das Tarnen von schädlichem Code im Speicher und von DLLs als reguläre Windows-Komponenten.
Besonders hervor hebt ESET den Eingriff in die Thread-Erstellung unter Windows. “SparroWocky nutzt die MinHook-Bibliothek, um die Funktion CreateThread zu haken und so den ursprünglichen Parameter lpStartAddress vor Sicherheitsprodukten zu verbergen”, schreiben die Forscher. “Im Ergebnis hätte jeder von SparroWocky erzeugte Thread AnimateWindow als Startadresse — was ein Sicherheitsprodukt vermutlich für legitim halten würde.”
Für dauerhaften Zugriff sorgt die Schadsoftware je nach verfügbaren Rechten entweder über einen Windows-Dienst namens ProcAuditManager oder über einen Registry-Schlüssel mit der Bezeichnung SnapCart unter HKLM oder HKCU.
Bei der Analyse der Angriffe stieß ESET auf mindestens 18 Command-and-Control-Adressen. Die Kommunikation lief entweder direkt über Port 443 beziehungsweise 8080 oder über HTTP- und SOCKS5-Proxys.
Die Forscher werten Architektur und Ausweichtechniken als Beleg für “fundierte Kenntnisse von Anti-Analyse-Tricks und Windows-Interna”. Das decke sich mit ihrer Zuordnung zu einer gut ausgestatteten und erfahrenen Angreifergruppe.
FamousSparrow hatte zuvor die eigenentwickelte Backdoor SparrowDoor eingesetzt; SparroWocky tritt nun an deren Stelle. Der ESET-Bericht enthält neben der technischen Analyse auch Kompromittierungsindikatoren zu dieser Aktivität.