گزارش‌های اخیر حاکی از آن است که گروه جاسوسی Salt Typhoon (که توسط برخی تحلیل‌گران با نام FamousSparrow شناخته می‌شود) بدافزار جدیدی به نام SparroWocky را برای هدف قرار دادن سازمان‌های حساس در کشورهای آمریکای مرکزی و جنوبی توسعه داده است.
تحلیل استراتژیک و اهداف
این گروه که تحت حمایت دولت چین فعالیت می‌کند، از اواسط سال ۲۰۲۵ تمرکز خود را به شدت بر منطقه آمریکای لاتین معطوف کرده است؛ به‌طوری که حدود ۹۰ درصد از اهداف این گروه در بازه زمانی ۲۰۲۵ تا ۲۰۲۶ در این منطقه قرار داشتند. سازمان‌های دولتی در کشورهایی نظیر آرژانتین، اکوادور، گواتمالا، هندوراس، پاناما، پرو، پورتوریکو و ونزوئلا هدف این حملات بوده‌اند. تحلیل‌گران معتقدند این تغییر استراتژیک احتمالاً پاسخی به فشارهای سیاسی و اقتصادی ایالات متحده در این منطقه است تا چین بتواند واکنش دولت‌های محلی را رصد کرده و سرمایه‌گذاری‌های بلندمدت خود در حوزه‌های انرژی، معدن و مخابرات را محافظت کند.
ویژگی‌های فنی بدافزار SparroWocky
بدافزار SparroWocky یک Backdoor ماژولار است که با زبان ++C نوشته شده و برای دور زدن ابزارهای امنیتی و Antivirus از تکنیک‌های پیشرفته‌ای بهره می‌برد. برخی از ویژگی‌های فنی این بدافزار عبارتند از:
- استفاده از ابزارهای Open Source: این بدافزار از کتابخانه Mbed TLS برای ایجاد کانال ارتباطی امن با سرور C2 و از MinHook برای پنهان کردن آدرس شروع Threadهای جدید استفاده می‌کند.
- بارگذاری پویا: با بهره‌گیری از COFF Loader، این بدافزار قادر است پلاگین‌ها را به صورت Dynamic در حافظه (In-memory) اجرا کند.
- تکنیک‌های ضد-تحلیل: استفاده از متغیرهای SilentMoonwalk برای جعل Call Stackها و الگوریتم‌های سفارشی API-hashing جهت شناسایی توابع Windows API.
مکانیزم استقرار و عملیاتی
این گروه از یک متد سه مرحله‌ای (Trident Loader) برای نفوذ استفاده می‌کند که شامل یک فایل اجرایی معتبر، یک DLL مخرب و یک فایل رمزنگاری شده است. اجرای بدافزار از طریق تکنیک DLL Side-loading صورت می‌گیرد.
پس از برقراری ارتباط با سرور فرمان و کنترل (C2) بر روی پورت‌های ۴۴۳ یا ۸۰۸۰، بدافزار می‌تواند دستورات متنوعی را اجرا کند، از جمله:
- استخراج جزئیات سیستم و ارسال به C2.
- سرقت یا حذف فایل‌ها و تهیه Snapshotهای دوره‌ای از صفحه نمایش.
- جمع‌آوری Session IDها و نام‌های کاربری از طریق تابع
WTSEnumerateSessionsW. - ایجاد نمونه‌های جدید از SparroWocky در سیستم هدف.
