گروه تهدید پیشرفته و مستمر (APT) چینی موسوم به FamousSparrow، در یک کمپین جدید با هدف جمع‌آوری اطلاعات استراتژیک، سازمان‌های دولتی و صنایع کلیدی در آمریکای مرکزی و جنوبی را هدف قرار داده است. این گروه که پیش‌تر به حملات گسترده علیه هتل‌ها و شرکت‌های بین‌المللی شناخته می‌شد، اکنون تمرکز خود را بر رصد تعاملات سیاسی و اقتصادی کشورهای منطقه با ایالات متحده متمرکز کرده است.
تکامل ابزارهای جاسوسی: از SparrowDoor تا SparroWocky
تحلیلگران امنیتی مشاهده کرده‌اند که این گروه برای دور زدن سیستم‌های شناسایی، بدافزار قدیمی خود یعنی SparrowDoor را کنار گذاشته و ابزار جدیدی به نام SparroWocky را جایگزین کرده است. این تغییر به دلیل شناسایی گسترده نسخه‌های قدیمی و افزایش دقت ابزارهای تشخیص بدافزار (Detection Tools) صورت گرفته است.
ویژگی‌های فنی بدافزار SparroWocky
بدافزار SparroWocky یک برنامه ماژولار نوشته شده با زبان ++C است که از طریق تکنیک DLL Sideloading در سیستم قربانی مستقر می‌شود. برخی از قابلیت‌های پیشرفته این بدافزار عبارتند از:
- اجرا در حافظه (In-Memory Execution): برای جلوگیری از باقی ماندن ردپا روی دیسک.
- رمزنگاری ترافیک C2: جهت پنهان کردن ارتباطات با سرور فرماندهی و کنترل.
- حذف خودکار (Self-deletion): برای پاکسازی آثار حمله پس از اتمام عملیات.
- Stack Spoofing: دستکاری در Call Stack برای جعل توابع حساس و نمایش آن‌ها به عنوان فرایندهای قانونی سیستم.
بهره‌برداری از ابزارهای Red Teaming
یکی از ویژگی‌های کلیدی SparroWocky، قابلیت پشتیبانی از Beacon Object Files (BOFs) است. این فرمت که ابتدا توسط Cobalt Strike معرفی شد، به مهاجمان اجازه می‌دهد تا ماژول‌های توسعه‌یافته توسط جامعه امنیت تهاجمی (Offensive Security) را مستقیماً در بدافزار خود ادغام کنند. این رویکرد باعث می‌شود تمامی ابزارهای مورد نیاز در یک بسته واحد قرار گیرند و نیاز به ارتباطات بین-فرآیندی (Interprocess Communication) یا ایجاد فایل‌های متعدد در سیستم کاهش یابد، که در نهایت منجر به کاهش احتمال شناسایی توسط SOC می‌شود.
اهداف استراتژیک و ژئوپلیتیک
این حملات به‌طور خاص سازمان‌های دولتی در کشورهایی نظیر آرژانتین، اکوادور، گواتمالا، هندوراس، پاناما، پرو، پورتوریکو و ونزوئلا را هدف قرار داده‌اند. تحلیل‌ها نشان می‌دهد هدف اصلی این عملیات، نظارت بر واکنش دولت‌های محلی به فشارهای اقتصادی و سیاسی ایالات متحده و همچنین رصد پروژه‌های زیرساختی چین (مانند ابتکار کمربند و جاده) در این منطقه است.
