Nouvelles variantes de SparrowDoor : attaques ciblant des organisations aux États-Unis et au Mexique

Le groupe de cyberespionnage chinois connu sous le nom de FamousSparrow a récemment été associé à une série de cyberattaques ayant visé une association professionnelle aux États-Unis et un institut de recherche au Mexique. Ces attaques, observées en juillet 2024, ont impliqué l'utilisation de deux nouvelles variantes du malware SparrowDoor, dont une version modulaire, ainsi que l'adoption, pour la première fois, de ShadowPad, un malware largement utilisé par des acteurs soutenus par l'État chinois.

Évolution des capacités de SparrowDoor

Les nouvelles variantes de SparrowDoor représentent une avancée significative par rapport aux versions précédentes. L'une des versions mises à jour dispose de fonctionnalités de parallélisation des commandes, permettant l'exécution simultanée d'opérations telles que les entrées/sorties (I/O) de fichiers et le lancement de shells interactifs. Cette approche améliore l'efficacité du malware en lui permettant de traiter plusieurs instructions en même temps.

La seconde variante introduit une architecture modulaire, avec neuf plugins distincts offrant des fonctionnalités avancées, parmi lesquelles :

• Exécution de commandes uniques
• Opérations sur le système de fichiers
• Enregistrement des frappes au clavier (keylogging)
• Lancement de proxys TCP
• Sessions shell interactives
• Transfert de fichiers entre l'hôte compromis et le serveur de commande et de contrôle (C&C)
• Capture de screenshots
• Gestion des processus en cours d'exécution
• Surveillance des modifications dans le système de fichiers

Chaîne d'attaque et vecteurs d'infection

Les attaques ont exploité des vulnérabilités de serveurs Internet Information Services (IIS), sur lesquels un web shell a été installé. Celui-ci a servi de vecteur pour télécharger un script batch depuis un serveur distant, lequel a ensuite lancé un web shell .NET encodé en Base64. Ce dernier a finalement déployé les variantes de SparrowDoor et de ShadowPad.

Les organisations touchées utilisaient des versions obsolètes de Windows Server et de Microsoft Exchange Server, ce qui souligne l'importance de maintenir les systèmes à jour afin de prévenir de telles intrusions.

Implications et recommandations

L'adoption de ShadowPad par FamousSparrow laisse entrevoir une possible évolution des tactiques du groupe, avec un partage accru des outils entre différents acteurs soutenus par l'État chinois. Les nouvelles capacités de SparrowDoor, en particulier son architecture modulaire, accroissent la flexibilité et la dangerosité du malware.

Il est essentiel que les organisations adoptent des mesures proactives pour protéger leurs infrastructures :

• Mettre à jour régulièrement les systèmes d'exploitation et les applications afin de corriger les vulnérabilités connues.
• Mettre en œuvre des solutions de sécurité avancées pour surveiller et détecter les activités suspectes.
• Réaliser des audits de sécurité périodiques afin d'identifier et d'atténuer les risques potentiels.

Pour plus de détails, vous pouvez consulter l'article original sur The Hacker News