گزارش‌های اخیر نشان می‌دهد که گروه FamousSparrow، یک گروه APT وابسته به چین، استراتژی عملیاتی خود را تغییر داده و از بک‌دور جدیدی به نام SparroWocky استفاده می‌کند. این گروه که پیش از این از ابزار SparrowDoor بهره می‌برد، اکنون تمرکز خود را به‌طور گسترده بر سازمان‌های دولتی در کشورهای آمریکای لاتین (از جمله آرژانتین، اکوادور، پاناما و ونزوئلا) معطوف کرده است.
ویژگی‌های فنی SparroWocky
بک‌دور SparroWocky یک بدافزار ماژولار نوشته شده با زبان ++C است که با هدف پنهان‌کاری و دور زدن سیستم‌های دفاعی طراحی شده است. برخی از قابلیت‌های کلیدی این ابزار عبارتند از:
- اجرای فایل‌های BOF: این بدافزار قادر است Beacon Object Files را بارگذاری و اجرا کند؛ فرمتی که در ابزارهای Red-Teaming مانند Cobalt Strike و Sliver رایج است.
- مدیریت حافظه و تزریق کد: SparroWocky با دستکاری ساختارهای سطح پایین در حافظه و Patch کردن کدها در زمان اجرا (Runtime)، تلاش می‌کند از شناسایی توسط EDRها و آنتی‌ویروس‌ها بگریزد.
- استخراج داده‌ها: این ابزار قابلیت ارسال اسکرین‌شات، جمع‌آوری اطلاعات سیستم و اکسفیلتر کردن فایل‌ها را دارد که داده‌ها پیش از ارسال با الگوریتم RC4 رمزنگاری شده و از طریق پروتکل TLS منتقل می‌شوند.
تکنیک‌های پیشرفته ضد-تحلیل (Anti-Analysis)
نویسندگان این بدافزار از متدهای پیچیده‌ای برای گمراه کردن تحلیل‌گران امنیتی استفاده کرده‌اند:
- SilentMoonwalk: این تکنیک با جعل Call Stackها باعث می‌شود فراخوانی‌های APIهای حساس ویندوز به‌گونه‌ای به نظر برسد که گویی از توابع سیستمی قانونی (مانند BaseThreadInitThunk) آغاز شده‌اند.
- DLL Side-Loading: برای استقرار، از یک فایل اجرایی قانونی و یک DLL مخرب استفاده می‌کند تا در محیط سیستم شناسایی نشود.
- Host Process Camouflage: هنگام بارگذاری فایل‌های PE در حافظه، بدافزار ساختارهای LDR_DATA_TABLE_ENTRY را جعل می‌کند تا در لیست ماژول‌های بارگذاری شده ویندوز، مشابه یک پردازش قانونی به نظر برسد.
تحلیل ارتباطات C&C
ارتباط با سرور فرمان و کنترل (C&C) از طریق TLS برقرار می‌شود. SparroWocky از سه حالت اتصال پشتیبانی می‌کند: اتصال مستقیم یا از طریق Proxyهای HTTP (با احراز هویت Kerberos یا NTLM) و SOCKS5. این انعطاف‌پذیری به مهاجم اجازه می‌دهد تا در شبکه‌های سازمانی با محدودیت‌های مختلف، دسترسی خود را حفظ کند.
