קבוצת הריגול FamousSparrow, המזוהה על ידי חוקרי אבטחה עם סין, החליפה את אחד הכלים המזוהים איתה בדלת אחורית חדשה בשם SparroWocky. לפי מחקר חדש של ESET שפורסם ב-17 בספטמבר, הכלי נפרס נגד ארגונים ממשלתיים במספר מדינות באמריקה הלטינית.
ESET אומרת כי מאז אמצע 2025 כ-90% מהיעדים של הקבוצה שנצפו בטלמטריה שלה היו באזור. בין המדינות שבהן זוהתה פעילות: ארגנטינה, אקוודור, גואטמלה, הונדורס, פנמה, פרו, פוארטו ריקו וונצואלה.
מה SparroWocky יודעת לעשות?
מדובר בדלת אחורית מודולרית שנכתבה ב-C++. היא יכולה להריץ פקודות וקבצים, לאסוף מידע על המחשב והרשת, לגנוב קבצים, לצלם את המסך ולשמש כ-TCP proxy. החוקרים מצאו גם שימוש ב-DLL side-loading ובטעינה לזיכרון כדי להקשות על זיהוי וניתוח.
אחד הדברים המעניינים במחקר הוא המעבר מ-SparrowDoor, כלי שהיה מזוהה עם FamousSparrow במשך שנים, למשפחת נוזקה חדשה. לפי ESET, חלק מההדבקות המוקדמות של SparroWocky אף הגיעו דרך SparrowDoor, נתון שחיזק את הייחוס לקבוצה.
למה זה רלוונטי גם מחוץ לאמריקה הלטינית?
היעדים הנוכחיים אמנם ממשלתיים ורחוקים מישראל, אבל שיטות העבודה מוכרות מאוד: ניצול מערכות חשופות, persistence, תנועה ברשת והסתרת פעילות בתוך תהליכים לגיטימיים. אלה בדיוק המקומות שבהם ניטור רציף ועדכוני אבטחה עושים את ההבדל.
אפשר לקרוא אצלנו גם את עדכוני הסייבר ואבטחת המידע האחרונים כדי לעקוב אחר חולשות וקמפיינים פעילים.
