Neue Varianten von SparrowDoor: gezielte Angriffe auf Organisationen in den USA und in Mexiko

Die chinesische Cyberspionagegruppe FamousSparrow wurde kürzlich mit einer Reihe von Cyberangriffen in Verbindung gebracht, die sich gegen einen Handelsverband in den Vereinigten Staaten und ein Forschungsinstitut in Mexiko richteten. Bei diesen Angriffen, die im Juli 2024 beobachtet wurden, kamen zwei neue Varianten der Malware SparrowDoor zum Einsatz, darunter eine modulare Version. Zudem wurde erstmals ShadowPad eingesetzt, eine Malware, die von staatlich unterstützten chinesischen Akteuren weit verbreitet genutzt wird.

Weiterentwicklung der Fähigkeiten von SparrowDoor

Die neuen SparrowDoor-Varianten stellen einen bedeutenden Fortschritt gegenüber den früheren Versionen dar. Eine der aktualisierten Versionen verfügt über Funktionen zur Parallelisierung von Befehlen, wodurch Operationen wie Datei-I/O und das Starten interaktiver Shells gleichzeitig ausgeführt werden können. Dieser Ansatz steigert die Effizienz der Malware, da mehrere Anweisungen gleichzeitig verarbeitet werden können.

Die zweite Variante führt eine modulare Architektur mit neun verschiedenen Plugins ein, die erweiterte Funktionen bieten, darunter:

• Ausführung einzelner Befehle
• Operationen im Dateisystem
• Aufzeichnung von Tastenanschlägen (Keylogging)
• Start von TCP-Proxys
• Interaktive Shell-Sitzungen
• Dateiübertragung zwischen dem kompromittierten Host und dem Command-and-Control-Server (C&C)
• Erstellung von Screenshots
• Verwaltung laufender Prozesse
• Überwachung von Änderungen im Dateisystem

Angriffskette und Infektionsvektoren

Die Angriffe nutzten Schwachstellen in Internet Information Services (IIS)-Servern aus, auf denen eine Web-Shell installiert wurde. Diese diente als Vektor, um ein Batch-Skript von einem Remote-Server herunterzuladen, das anschließend eine Base64-codierte .NET-Web-Shell startete. Letztere verteilte schließlich die Varianten von SparrowDoor und ShadowPad.

Die betroffenen Organisationen nutzten veraltete Versionen von Windows Server und Microsoft Exchange Server. Dies unterstreicht, wie wichtig es ist, Systeme auf dem neuesten Stand zu halten, um solche Angriffe zu verhindern.

Auswirkungen und Empfehlungen

Der Einsatz von ShadowPad durch FamousSparrow deutet auf eine mögliche Weiterentwicklung der Taktiken der Gruppe hin, mit einem verstärkten Austausch von Tools zwischen verschiedenen staatlich unterstützten chinesischen Akteuren. Die neuen Fähigkeiten von SparrowDoor, insbesondere die modulare Architektur, erhöhen die Flexibilität und die Gefährlichkeit der Malware.

Es ist entscheidend, dass Organisationen proaktive Maßnahmen ergreifen, um ihre Infrastrukturen zu schützen:

• Betriebssysteme und Anwendungen regelmäßig aktualisieren, um bekannte Schwachstellen zu beheben.
• Fortschrittliche Sicherheitslösungen implementieren, um verdächtige Aktivitäten zu überwachen und zu erkennen.
• Regelmäßige Sicherheitsaudits durchführen, um potenzielle Risiken zu identifizieren und zu minimieren.

Weitere Einzelheiten finden Sie im Originalartikel auf The Hacker News.