Salt Typhoon triển khai backdoor mới nhắm vào tổ chức Mỹ Latinh
"ESET reported that Salt Typhoon (tracked by ESET as FamousSparrow) deployed a new modular C++ backdoor called SparroWocky against government organizations across Central and South America starting in August 2025. The malware uses DLL side-loading, TLS C2 over ports 443/8080, API hashing, and anti-analysis techniques to steal data, take screenshots, manage sessions, and maintain long-term espionage access; no CVE was mentioned and the article notes ESET published IOCs and samples."
Đây là chiến dịch gián điệp mạng có khả năng duy trì truy cập lâu dài, với né tránh phát hiện và thu thập dữ liệu nhạy cảm. Việc ESET đã công bố IOC giúp tăng khả năng phát hiện và săn tìm mối đe dọa.
Các cơ quan và doanh nghiệp trong khu vực có thể đối mặt với rò rỉ dữ liệu, gián đoạn điều tra nội bộ và tăng chi phí ứng phó. Ưu tiên rà soát hạ tầng, giám sát lưu lượng C2 và cập nhật quy trình phản ứng sự cố.
Theo báo cáo của ESET, nhóm gián điệp mạng Salt Typhoon (ESET theo dõi với tên FamousSparrow) đã triển khai một backdoor mới tên SparroWocky vào các mạng của cơ quan chính phủ tại nhiều nước ở Trung và Nam Mỹ từ ít nhất tháng 8/2025. Mẫu mã độc này là backdoor C++ mô-đun, tích hợp các thành phần mã nguồn mở và dùng nhiều kỹ thuật né tránh để giảm khả năng bị phát hiện.
ESET cho biết SparroWocky sử dụng DLL side-loading, API hashing, và các kỹ thuật chống phân tích như SilentMoonwalk để che giấu luồng thực thi. Mã độc liên lạc với máy chủ C2 qua TLS, thường trên cổng 443, và đôi khi dùng 8080. Sau khi thiết lập kết nối, nó có thể thu thập thông tin hệ thống, quản lý phiên làm việc, chụp ảnh màn hình định kỳ, lấy hoặc xóa tệp, và duy trì quyền truy cập dài hạn.
Nhóm nghiên cứu cũng công bố IOC và mẫu phân tích trên kho GitHub của ESET. Các tổ chức trong khu vực nên rà soát nhật ký, kiểm tra dấu hiệu DLL side-loading, giám sát kết nối ra ngoài tới IP trực tiếp trên các cổng nêu trên, và đối chiếu với IOC để phát hiện sớm hoạt động xâm nhập.