Nowe warianty SparrowDoor: ukierunkowane ataki na organizacje w Stanach Zjednoczonych i Meksyku

Chińska grupa cyberszpiegowska znana jako FamousSparrow została niedawno powiązana z serią cyberataków wymierzonych w stowarzyszenie branżowe w Stanach Zjednoczonych oraz instytut badawczy w Meksyku. Ataki te, zaobserwowane w lipcu 2024 roku, wykorzystywały dwie nowe warianty złośliwego oprogramowania SparrowDoor, w tym wersję modułową, a także po raz pierwszy narzędzie ShadowPad — malware szeroko stosowany przez podmioty sponsorowane przez państwo chińskie.

Rozwój możliwości SparrowDoor

Nowe warianty SparrowDoor stanowią znaczący postęp w porównaniu z wcześniejszymi wersjami. Jedna z zaktualizowanych wersji oferuje funkcje równoległego wykonywania poleceń, co umożliwia jednoczesne przeprowadzanie operacji, takich jak operacje wejścia/wyjścia na plikach (I/O) i uruchamianie interaktywnych powłok. Takie podejście zwiększa wydajność malware'u, ponieważ pozwala obsługiwać wiele instrukcji jednocześnie.

Drugi wariant wprowadza architekturę modułową z dziewięcioma odrębnymi wtyczkami oferującymi zaawansowane funkcje, między innymi:

• wykonywanie pojedynczych poleceń,
• operacje na systemie plików,
• rejestrowanie naciśnięć klawiszy (keylogging),
• uruchamianie proxy TCP,
• interaktywne sesje powłoki,
• transfer plików między zainfekowanym hostem a serwerem dowodzenia i kontroli (C&C),
• wykonywanie zrzutów ekranu,
• zarządzanie uruchomionymi procesami,
• monitorowanie zmian w systemie plików.

Łańcuch ataku i wektory infekcji

Ataki wykorzystywały luki w zabezpieczeniach serwerów Internet Information Services (IIS), na których zainstalowano web shell. Posłużył on jako wektor do pobrania skryptu wsadowego (batch) z zdalnego serwera, który następnie uruchomił web shell .NET zakodowany w Base64. Ten ostatni ostatecznie dostarczył warianty SparrowDoor i ShadowPad.

Zaatakowane organizacje używały przestarzałych wersji systemów Windows Server i Microsoft Exchange Server, co podkreśla znaczenie aktualizowania systemów w celu zapobiegania takim włamaniom.

Wnioski i zalecenia

Wykorzystanie ShadowPad przez FamousSparrow wskazuje na możliwą ewolucję taktyk grupy oraz większą wymianę narzędzi między różnymi podmiotami sponsorowanymi przez państwo chińskie. Nowe możliwości SparrowDoor, w szczególności jego modułowa architektura, zwiększają elastyczność i zagrożenie, jakie stwarza ten malware.

Kluczowe jest, aby organizacje podejmowały proaktywne działania w celu ochrony swojej infrastruktury:

• Regularnie aktualizować systemy operacyjne i aplikacje, aby usuwać znane luki w zabezpieczeniach.
• Wdrażać zaawansowane rozwiązania bezpieczeństwa do monitorowania i wykrywania podejrzanej aktywności.
• Przeprowadzać okresowe audyty bezpieczeństwa w celu identyfikacji i ograniczania potencjalnych zagrożeń.

Więcej szczegółów można znaleźć w oryginalnym artykule w serwisie The Hacker News