Chinese hackers use SparroWocky malware in govt espionage attacks

Espionnage gouvernemental : Le malware SparroWocky cible l’Amérique latine

Le groupe de cyberespionnage FamousSparrow, lié à la Chine, a déployé une nouvelle porte dérobée (backdoor) baptisée SparroWocky pour cibler des organisations gouvernementales en Amérique latine (Argentine, Équateur, Panama, Pérou, etc.). Ce malware remplace l’ancien outil SparrowDoor et vise à collecter des renseignements stratégiques sur les positions diplomatiques face aux intérêts économiques chinois.

Points clés :

• Nature du malware : Porte dérobée modulaire en C++ intégrant des bibliothèques open-source, conçue pour la furtivité et l’analyse système approfondie.
• Techniques d’évasion : Utilisation intensive de la dissimulation en mémoire, usurpation de la pile d’appels et camouflage de threads malveillants sous des processus légitimes (ex: AnimateWindow).
• Infection : Déploiement via le DLL side-loading avec un payload chiffré en RC4, rendant la détection statique complexe.
• Persistance : Création d’un service Windows dédié (ProcAuditManager) ou modification de clés de registre (SnapCart).
• Capacités : Capture d’écran dynamique, proxy TCP, exécution de commandes, manipulation de fichiers et injection de code en mémoire.

Vulnérabilités : Aucune CVE spécifique n’est mentionnée, car l’attaque repose sur des techniques d’évasion sophistiquées plutôt que sur l’exploitation d’une faille logicielle connue. Le vecteur principal reste le DLL side-loading, une méthode classique exploitant le comportement de recherche de bibliothèques dynamiques par Windows.

Recommandations :

• Surveillance réseau : Surveiller les communications suspectes vers les serveurs C2 sur les ports 443 et 8080, et détecter les trafics atypiques passant par des proxies HTTP/SOCKS5.
• Analyse comportementale : Privilégier la détection des comportements anormaux liés à la création de threads (hooking CreateThread) plutôt que la simple recherche de fichiers sur disque.
• Intégrité système : Surveiller la création de services Windows non répertoriés et les modifications suspectes dans les clés de registre (HKLM / HKCU).
• Threat Intelligence : Consulter la liste des Indicateurs de Compromission (IoC) partagée par ESET sur leur dépôt GitHub officiel pour mettre à jour les règles de détection des EDR/SIEM.

Source