Novas variantes do SparrowDoor: ataques dirigidos a organizações nos Estados Unidos e no México

O grupo de ciberespionagem chinês conhecido como FamousSparrow foi recentemente associado a uma série de ataques informáticos dirigidos a uma associação comercial nos Estados Unidos e a um instituto de investigação no México. Estes ataques, observados em julho de 2024, envolveram a utilização de duas novas variantes do malware SparrowDoor, incluindo uma versão modular, e a adoção, pela primeira vez, do ShadowPad, um malware amplamente utilizado por agentes patrocinados pelo Estado chinês.

Evolução das capacidades do SparrowDoor

As novas variantes do SparrowDoor representam um progresso significativo relativamente às versões anteriores. Uma das versões atualizadas apresenta funcionalidades de paralelização de comandos, permitindo a execução simultânea de operações como o I/O de ficheiros e o arranque de shells interativas. Esta abordagem melhora a eficiência do malware, permitindo gerir várias instruções em simultâneo.

A segunda variante introduz uma arquitetura modular, com nove plugins distintos que oferecem funcionalidades avançadas, entre as quais:

• Execução de comandos individuais
• Operações no sistema de ficheiros
• Registo das teclas premidas (keylogging)
• Arranque de proxies TCP
• Sessões de shell interativas
• Transferência de ficheiros entre o anfitrião comprometido e o servidor de comando e controlo (C&C)
• Captura de screenshots
• Gestão dos processos em execução
• Monitorização das alterações no sistema de ficheiros

Cadeia de ataque e vetores de infeção

Os ataques exploraram vulnerabilidades em servidores Internet Information Services (IIS), nos quais foi instalada uma web shell. Esta atuou como vetor para descarregar um script batch a partir de um servidor remoto, o qual lançou posteriormente uma web shell .NET codificada em Base64. Esta última distribuiu, por fim, as variantes do SparrowDoor e do ShadowPad.

As organizações afetadas utilizavam versões obsoletas do Windows Server e do Microsoft Exchange Server, o que evidencia a importância de manter os sistemas atualizados para prevenir este tipo de intrusões.

Implicações e recomendações

A adoção do ShadowPad por parte do FamousSparrow indica uma possível evolução nas táticas do grupo, com uma maior partilha de ferramentas entre diferentes agentes patrocinados pelo Estado chinês. As novas capacidades do SparrowDoor, em particular a sua arquitetura modular, aumentam a flexibilidade e a perigosidade do malware.

É fundamental que as organizações adotem medidas proativas para proteger as suas infraestruturas:

• Atualizar regularmente os sistemas operativos e as aplicações para corrigir as vulnerabilidades conhecidas.
• Implementar soluções de segurança avançadas para monitorizar e detetar atividades suspeitas.
• Realizar auditorias de segurança periódicas para identificar e mitigar potenciais riscos

Para mais detalhes, é possível consultar o artigo original no The Hacker News