В июле 2024 года исследователи ESET Research обнаружили, что кибершпионская группа FamousSparrow скомпрометировала систему одной из торговых групп в США, работающей в финансовом секторе. Следуя за этим, они обнаружили, что FamousSparrow также взломала исследовательский институт в Мексике.
Описание
Эта группа, связанная с Китаем, была активной с 2019 года, но период с 2022 по 2024 год считался неактивным. Однако они не только были активны в этот период, но также разработали две новые версии своего бэкдора SparrowDoor, которые были обнаружены взломанной сети. Обе версии SparrowDoor являются значительным прогрессом по сравнению с предыдущими версиями и реализуют распараллеливание команд. Одна из версий похожа на CrowDoor, бэкдор, приписанный группе Earth Estries, а другая является модульной и отличается от предыдущих версий. В процессе этой кампании FamousSparrow также впервые использовала бэкдор ShadowPad, который известен связанным с Китаем злоумышленникам.
Исследователи обнаружили, что загрузчики, используемые FamousSparrow, имеют значительные совпадения с ранее приписываемыми им образцами, включая тот же отражающий шелл-код и похожий формат для связи с C&C-сервером. Они также обнаружили совпадения в коде SparrowDoor и HemiGate, группы GhostEmperor, но недостаточно данных, чтобы полностью оценить связь между ними. Microsoft Threat Intelligence связываает FamousSparrow с Salt Typhoon.
В целом, данное исследование раскрывает активности FamousSparrow и их использование новых версий бэкдора SparrowDoor. Эти инструменты представляют собой значительный прогресс и свидетельствуют о том, что группа остается активной и работает над улучшением своих атакующих возможностей.
Indicators of Compromise
