С августа 2025 года группировка FamousSparrow использует новую программу SparroWocky для скрытого управления заражёнными компьютерами. Она заменила прежний инструмент группы - бэкдор (программу скрытого удалённого доступа) SparrowDoor, служивший основным средством несколько лет. Тогда же сменилась география атак. Около 90% известных целей за период с середины 2025 года по 2026 год находятся в Латинской Америке, и большинство из них - государственные организации.
Описание
Среди жертв - ведомства Аргентины, Эквадора, Гватемалы, Гондураса, Панамы, Перу, Пуэрто-Рико и Венесуэлы. Набор целей говорит об интересе к работе правительств, их внешним связям и переписке. Похищенные документы такого рода используют в политическом и экономическом давлении, а не для быстрой наживы. Госсектор - не единственное направление. Группировка годами атаковала международные организации, торговые объединения, юридические и инженерные компании. Такой разброс показывает, что смена региона не сузила список потенциальных жертв. Сдвиг, вероятно, связан с интересом к правительствам, чья политика пересекается с экономическими интересами Китая. Пока неясно, стала Латинская Америка постоянным направлением работы или временной задачей.
SparroWocky - отдельное семейство, а не очередная версия старой программы. Исследование показало, что у нового бэкдора другая архитектура и заметно более широкий набор возможностей. Модульная конструкция позволяет наращивать функциональность, не заменяя основной вредоносный файл. Программа выполняет команды, копирует и передаёт файлы, собирает сведения о системе, работает сетевым посредником и делает снимки экрана. Оператор получает данные об имени компьютера и учётной записи, домене, версии Windows, сетевых адресах, подключённых дисках и активных сеансах пользователей. Такая осведомлённость помогает выбирать следующие цели внутри сети.
Снимки экрана заслуживают отдельного упоминания. После первого изображения программа передаёт только изменившиеся участки картинки. Приём резко снижает объём трафика при длительном наблюдении за сотрудником. Слежка может идти месяцами и оставаться незамеченной. Передаваемые сведения злоумышленники шифруют, а сам канал защищён современным сетевым протоколом.
Особое внимание разработчики уделили незаметности. Вредоносный код исполняется прямо в памяти заражённого компьютера и не сохраняется на диск. Проверки файловой системы поэтому ничего не находят, а средства защиты, рассчитанные на поиск знакомых образцов, оказываются малоэффективны. Программа подменяет цепочку вызовов системных функций: сторонние инструменты наблюдения видят работу обычных компонентов Windows, а не действия чужого кода. Она перехватывает создание потоков, подменяет их адреса и подставляет загружаемым модулям правдоподобные записи во внутренних структурах операционной системы. Часть поддельных конструкций собрана из открытых наработок, изначально созданных для проверки защищённости.
Доставка построена на трёх компонентах: доверенной программе, вредоносной библиотеке и зашифрованном файле с полезной нагрузкой. Легитимное приложение запускает подменённую библиотеку, сохранившую метаданные оригинала. Та разворачивает основной код в памяти. Для закрепления в системе используются два механизма - служба Windows или запись в разделе автозапуска реестра. Названия подбирают так, чтобы они выглядели безобидно и не привлекали внимания администратора.
Отдельная возможность - исполнение модулей Beacon Object File, или BOF (небольших программ, которые работают в памяти уже заражённого процесса). Впервые такой подход появился в наборе Cobalt Strike, позже его переняли другие средства для проверки защищённости. Оператор может добавлять новые функции на взломанной машине, не меняя основной бэкдор. Раньше группировка приносила открытые инструменты на заражённые компьютеры по отдельности, теперь часть их кода встроена в саму программу. Это снижает число следов, по которым защита могла бы заметить постороннее присутствие.
Связь с управляющими серверами идёт по защищённому каналу, библиотека шифрования встроена в состав бэкдора. Программа подключается напрямую и через прокси: системные, HTTP и SOCKS5. Для корпоративных посредников предусмотрены разные схемы аутентификации, включая доменную. Чаще всего серверы управления слушают стандартный защищённый порт 443, реже - 8080. Некоторые из них используют самоподписанные сертификаты, поэтому единого признака для надёжного поиска таких узлов не хватает.
FamousSparrow действует как минимум с 2019 года. Известность ей принесли атаки на гостиницы по всему миру. В 2021 году группу заметили при эксплуатации уязвимости ProxyLogon в почтовых серверах Microsoft Exchange. Позже среди жертв появились финансовое объединение из США и исследовательский институт в Мексике. Часть аналитиков связывает группу с кластерами Earth Estries и Salt Typhoon, однако убедительных доказательств тождества нет: совпадения объясняются общей инфраструктурой или подрядчиками. Затишье 2022-2024 годов сменилось новой активностью, а появление SparroWocky подтвердило, что группировка не прекратила работу.
Для организаций, работающих с дипломатической, торговой, юридической и исследовательской информацией, риски остаются высокими. Полезны базовые меры: обновление почтовых серверов и операционных систем, контроль автозапуска служб и записей реестра, ограничение прав сотрудников, двухфакторная аутентификация. Отдельного внимания требует нетипичная сетевая активность рабочих станций. Историческая география жертв охватывает несколько регионов, поэтому концентрацию на Латинской Америке не стоит считать постоянной.
Индикаторы компрометации
