Contexte et cible
Le groupe d’espionnage cybernétiquement aligné sur la Chine, connu sous le nom de FamousSparrow, a été détecté en train d’utiliser un nouveau cheval de Troie nommé SparroWocky. Les relevés d’ESET montrent des déploiements actifs depuis août 2025 contre des entités gouvernementales et privées dans huit pays d’Amérique latine : Argentine, Équateur, Guatemala, Honduras, Panama, Pérou, Porto‑Rico et Venezuela. Selon la même source, 90 % des cibles observées se situent dans cette région, ce qui suggère soit une directive géographique, soit une adaptation aux tensions géopolitiques récentes. Le groupe, actif depuis 2019, partage des indicateurs avec les campagnes Earth Estries et Salt Typhoon, mais a remplacé son implant antérieur SparrowDoor par SparroWocky comme vecteur principal.
Architecture du malware
SparroWocky est décrit comme un backdoor modulaire écrit en C++. Il s’appuie sur une chaîne de DLL sideloading : un exécutable légitime charge une DLL factice qui déchiffre puis injecte le composant principal en mémoire. Le module principal expose plusieurs capacités : exécution de fichiers arbitraires, fonction de proxy TCP, exécution de commandes système, collecte d’informations système (nom d’hôte, version Windows, adresses IP) et capture d’écrans à intervalles réguliers. Il peut également exfiltrer des fichiers, réaliser des opérations de lecture/écriture sur le disque et s’auto‑effacer après exécution.
Mécanismes d’évasion et de persistance
Le code intègre plusieurs techniques anti‑analyse. Il utilise Mbed TLS pour chiffrer les communications avec le serveur C2 (adresse IP 216.238.110.120) via TLS, rendant l’interception réseau difficile. Le hook MinHook masque l’adresse de départ des threads nouvellement créés, ce qui complique la détection par les produits de sécurité basés sur l’inspection des appels système. Le chargeur COFF Loader permet le chargement dynamique d’objets COFF en mémoire, évitant l’écriture de fichiers sur le disque. Un composant dérivé de SilentMoonwalk (ou StackMoonwalk) falsifie les traces de pile d’appels générées par MinHook, ce qui perturbe les analyses de stack‑walking. Enfin, le projet réutilise du code open‑source offensif, intégré directement dans le backdoor, ce qui montre une capacité de développement interne avancée.
Implications et limites
Le passage de SparrowDoor à SparroWocky ne modifie pas les objectifs tactiques : la cible reste la collecte d’intelligence sur des organisations stratégiques. Cependant, la modularité du nouveau malware facilite l’ajout de fonctions supplémentaires sans recompilation complète, augmentant la vitesse de déploiement de nouvelles capacités. L’absence d’information sur le vecteur d’accès initial empêche une évaluation précise du périmètre de compromission ; il peut s’agir de phishing, de compromission de fournisseurs ou de vulnérabilités non divulguées. La forte dépendance à des bibliothèques tierces (Mbed TLS, MinHook) crée un point de défaillance potentiel : une mise à jour de ces composants pourrait casser la chaîne de communication ou déclencher des alertes de sécurité. Enfin, la concentration géographique des attaques suggère que les défenses locales (solutions EDR, filtrage TLS) doivent être renforcées, notamment par la surveillance des comportements de chargement de DLL et des connexions sortantes vers l’adresse C2 identifiée.
