FamousSparrow triển khai backdoor SparroWocky tại Mỹ Latinh
"ESET reported that the China-aligned threat actor FamousSparrow has been deploying a previously unreported modular C++ backdoor called SparroWocky in Latin America since at least August 2025. The malware supports command execution, file theft, screenshots, proxying, and self-deletion, and it is delivered via DLL sideloading; no CVE is mentioned and the article does not describe a vendor patch or fix."
Đây là chiến dịch gián điệp mạng có khả năng đánh cắp dữ liệu và duy trì hiện diện bí mật trên hệ thống. Việc dùng DLL sideloading và kỹ thuật né phân tích làm tăng rủi ro bị phát hiện muộn.
Tác động chính là rò rỉ dữ liệu nhạy cảm và gián đoạn điều tra sự cố, đặc biệt với cơ quan chính phủ và tổ chức có hiện diện tại Mỹ Latinh. Do chưa có bản vá cụ thể, cần ưu tiên giám sát và săn tìm mối đe dọa.
Theo ESET, nhóm đe dọa được cho là liên kết với Trung Quốc là FamousSparrow đã triển khai một backdoor mới chưa từng được công bố, tên SparroWocky, trong các chiến dịch nhắm vào nhiều quốc gia ở Mỹ Latinh từ ít nhất tháng 8/2025. Mã độc này là một backdoor C++ mô-đun, có khả năng thực thi lệnh, đánh cắp tệp, chụp ảnh màn hình, hoạt động như TCP proxy và tự xóa khỏi máy bị nhiễm.
ESET cho biết chuỗi tấn công vẫn dựa trên DLL sideloading: một tệp thực thi hợp pháp được dùng để nạp DLL tải mã độc, sau đó giải mã và khởi chạy payload chính. Nhóm này cũng tận dụng một số dự án mã nguồn mở như Mbed TLS, MinHook, COFF Loader và biến thể của SilentMoonwalk/StackMoonwalk để tăng khả năng liên lạc, ẩn hoạt động và né phát hiện.
Các mục tiêu được ghi nhận gồm cơ quan chính phủ tại Argentina, Ecuador, Guatemala, Honduras, Panama, Peru, Puerto Rico và Venezuela. Hiện chưa có thông tin về CVE hay bản vá từ nhà cung cấp. Khuyến nghị các đội an ninh rà soát dấu hiệu DLL sideloading, giám sát kết nối tới C2, kiểm tra tiến trình bất thường và tăng cường phát hiện hành vi chụp màn hình, sao chép tệp hoặc proxy trái phép.