Die Umstellung auf SparroWocky ist mehr als ein Versionssprung. Zwar übernimmt die neue Backdoor Teile der Logik der Vorgängerin, wurde aber laut ESET überwiegend von Grund auf neu gebaut. Malware-Forscher Alexandre Côté Cyr vermutet, dass SparrowDoor schlicht in die Jahre gekommen und zu breit kopiert worden war: “Eine Zeit lang dachten wir, es sei exklusiv bei ihnen im Einsatz, aber in den vergangenen Jahren haben wir Varianten desselben Codes gesehen — Schadsoftware, die einen gemeinsamen Vorfahren zu haben scheint und von anderen Gruppen genutzt wird. Eine Möglichkeit ist also, dass sie inzwischen so verbreitet ist, dass sie besser erkannt wird.”
Technisch handelt es sich bei SparroWocky um ein modulares C++-Programm, das per DLL-Sideloading ausgeliefert wird. Um unentdeckt zu bleiben, führt FamousSparrow den Schadcode im Arbeitsspeicher aus, verschlüsselt den Verkehr zu den Befehlsservern und lässt die Komponenten sich selbst löschen.
Besonders hervor hebt ESET-Forscher Romain Dumont eine Technik namens Stack Spoofing, bei der der Aufrufstapel eines Threads manipuliert wird, sodass verdächtige Funktionsaufrufe so wirken, als kämen sie aus einem legitimen Programm. “Stack Spoofing ist ziemlich beeindruckend”, sagt Dumont. “Dass sie es eingesetzt haben, zeigt, wie sehr sie eine Entdeckung vermeiden wollten.”
Hinzu kommt die Fähigkeit, Beacon Object Files (BOF) einzubinden — ein Dateiformat, das ursprünglich mit Cobalt Strike eingeführt wurde und inzwischen auch von anderen Entwicklern von Penetrationstest-Werkzeugen genutzt wird. “Damit können sie sich vieles zunutze machen, was die Offensive-Security-Community baut: Module, die für Red Teaming entwickelt wurden, direkt übernehmen und für die eigene Schadsoftware umwidmen”, erklärt Côté Cyr. Der Vorteil liegt auch in der Tarnung: Statt zusätzliche Open-Source-Werkzeuge auf dem System abzulegen, bleibt alles in einem Framework. “Wenn alles in einem Stück steckt, muss man nur eine Sache verstecken. Es gibt kaum Interprozesskommunikation, man legt keine Dateien ab, der Umfang bleibt begrenzt.”
Den Hintergrund der Kampagne verortet ESET im wachsenden Machtkonflikt zwischen den USA und China in Lateinamerika. Peking dehnte seine Belt-and-Road-Initiative 2018 auf die Region aus und baute dort Infrastruktur auf. Neun Tage nach dem zweiten Wahlsieg Donald Trumps eröffnete mit massiver chinesischer Unterstützung der Hafenterminal Chancay in Lima, Peru; Trump stufte die Aktivitäten später als wirtschaftliches Risiko ein und beauftragte kürzlich seinen Außenminister, mit Perus Präsident über den chinesischen Einfluss zu sprechen.
“Wir vermuten, dass FamousSparrows Aktivitäten China dabei helfen sollen, die Reaktionen lokaler Regierungen auf den aktuellen US-Druck besser zu beobachten und vorherzusehen”, heißt es im ESET-Bericht. Im Fall Panamas sei es “höchst wahrscheinlich”, dass die Operation darauf zielte, frühzeitig privilegiertes Wissen über die Absichten der Behörden im Streit um die Hafenkonzession zu erlangen, die die panamaische Regierung Anfang 2025 rechtlich angefochten hatte.
Für die Region dürfte das zur neuen Normalität werden, meint Côté Cyr: China-nahe APT-Gruppen seien in Lateinamerika zwar schon zuvor präsent gewesen, aber nicht in diesem Ausmaß. “Früher hat FamousSparrow sehr breit angegriffen” — im vergangenen Jahr aber habe die Gruppe “ihr Mandat offenbar sehr gezielt auf Lateinamerika umgestellt”.