FamousSparrow e SparroWocky: backdoor in America Latina

Il panorama delle minacce informatiche rivolte agli enti governativi sta cambiando rapidamente, e il gruppo FamousSparrow ne è un esempio lampante. Dal 2025 questo attore di minaccia allineato alla Cina ha spostato il proprio focus operativo verso l’America Latina, introducendo al contempo una nuova arma nel proprio arsenale: la backdoor SparroWocky. Questo articolo analizza nel dettaglio l’evoluzione geografica e tecnica di questa minaccia, offrendo indicazioni pratiche per la detection e la mitigazione.

Chi è FamousSparrow e perché sta cambiando strategia

FamousSparrow è un gruppo di cyberspionaggio noto da tempo agli analisti di sicurezza informatica. La novità più rilevante emersa nel 2025 riguarda il suo riallineamento strategico: oltre il 90% degli attacchi osservati colpisce oggi enti governativi in America Latina.

I paesi maggiormente coinvolti includono:

• Argentina
• Ecuador
• Guatemala
• Honduras
• Panama
• Perù
• Puerto Rico
• Venezuela

Le campagne sono state rilevate almeno a partire da agosto 2025, segnando un cambio di rotta rispetto ai target tradizionalmente colpiti da questo gruppo. Questo tipo di pivot geografico è tipico degli attori APT (Advanced Persistent Threat) quando cercano nuove aree con infrastrutture di sicurezza meno mature o con interessi geopolitici emergenti.

SparroWocky: la nuova backdoor che sostituisce SparrowDoor

Il salto tecnico più significativo riguarda l’abbandono del precedente impianto malevolo, SparrowDoor, in favore di una backdoor modulare di nuova generazione chiamata SparroWocky. Sviluppata in C/C++, questa minaccia è stata progettata per operare principalmente in-memory, riducendo drasticamente le tracce lasciate sul disco.

Le capacità operative di SparroWocky includono:

• Furto di dati sensibili
• Funzionalità di proxy TCP per il movimento laterale
• Esecuzione di comandi da remoto
• Caricamento di Beacon Object Files (BOF)
• Comunicazioni cifrate tramite TLS, con utilizzo segnalato di RC4

Questa combinazione di funzionalità rende SparroWocky uno strumento estremamente versatile per condurre operazioni di cyberspionaggio prolungate nel tempo.

Le tecniche di evasione: come SparroWocky elude i sistemi di difesa

Uno degli aspetti più preoccupanti di questa nuova backdoor riguarda le tecniche di offuscamento e anti-analisi implementate. Tra le più rilevanti troviamo:

• DLL side-loading tramite un loader chiamato “Trident”, basato su un’architettura a tre componenti
• Esecuzione in-memory, senza scrittura di payload su disco
• Offuscamento dei call stack per rendere più difficile l’analisi forense
• Risoluzione dinamica delle API Windows, evitando pattern statici rilevabili
• Occultamento degli indirizzi di avvio dei thread
• Module spoofing, ovvero la falsificazione dei moduli caricati in memoria

Queste tecniche rendono SparroWocky particolarmente difficile da individuare con strumenti di sicurezza tradizionali basati solo sull’analisi del file system.

Il vettore d’ingresso: server Microsoft Exchange esposti

Il punto di ingresso principale sfruttato da FamousSparrow rimane lo stesso: server Microsoft Exchange esposti pubblicamente su internet. Questo vettore continua a rappresentare una delle superfici di attacco più critiche per le infrastrutture governative on-premise.

Una volta ottenuto l’accesso iniziale, gli attaccanti sfruttano le capacità di proxy e tunneling della backdoor per muoversi lateralmente all’interno della rete compromessa, raggiungendo sistemi critici senza destare sospetti.

Strategie di detection e hunting per i team di sicurezza

Per i team blue e i CSIRT che proteggono infrastrutture governative, è fondamentale implementare strategie di rilevamento mirate. Ecco le principali aree su cui concentrare l’attenzione:

Hardening e monitoraggio di Exchange

• Controllare i log di Exchange, OWA ed ECP per autenticazioni anomale
• Ricercare indicatori di exploit noti, come webshell o richieste POST sospette
• Monitorare anomalie nei log IIS

Rilevamento delle attività in-memory

• Attivare soluzioni EDR con capacità di memory scanning
• Monitorare chiamate sospette come CreateRemoteThread, NtWriteVirtualMemory e pattern di shellcode legati a VirtualAlloc
• Verificare la corrispondenza tra moduli caricati in memoria e file effettivamente presenti su disco

Analisi del traffico di rete

• Ispezionare connessioni TLS con cifrari deprecati come RC4
• Individuare comportamenti TLS anomali, come certificati self-signed o SNI sospetti
• Analizzare il traffico TCP alla ricerca di pattern tipici di tunneling non autorizzato

Mitigazioni immediate da adottare

Di fronte a una minaccia così sofisticata, è importante agire su più fronti contemporaneamente. Ecco le priorità operative consigliate:

1. Patch tempestivo di tutti i server Exchange e limitazione dell’accesso pubblico tramite VPN o conditional access
2. Segmentazione di rete tra DMZ, server Exchange e risorse interne critiche
3. Implementazione di EDR con capacità di rilevamento specifiche per minacce in-memory
4. Application allow-listing per limitare i caricamenti di DLL non autorizzati
5. Blocco dei cifrari deboli come RC4 a livello di rete
6. Attivazione MFA per tutti gli account amministrativi legati a Exchange
7. Preparazione di un playbook di incident response che includa procedure di acquisizione della memoria volatile

Conclusione

L’evoluzione di FamousSparrow rappresenta un caso di studio significativo per comprendere come gli attori di minaccia più sofisticati adattino costantemente le proprie strategie. Il duplice cambiamento osservato, quello geografico verso l’America Latina e quello tecnico con l’introduzione di SparroWocky, dimostra la necessità per gli enti governativi di mantenere alta la guardia.

Le organizzazioni che gestiscono infrastrutture critiche devono investire in hardening proattivo dei server Exchange, adottare soluzioni EDR capaci di rilevare minacce in-memory e mantenere aggiornati i propri playbook di risposta agli incidenti. Solo un approccio integrato, che combini prevenzione, detection e risposta rapida, può ridurre efficacemente il rischio rappresentato da minacce persistenti avanzate come quella descritta in questo articolo.