קבוצת ריגול סינית תוקפת ממשלות באמריקה הלטינית עם דלת אחורית חדשה

חברת האבטחה ESET חושפת קמפיין ריגול מתמשך של קבוצת התקיפה הסינית FamousSparrow נגד גופים ממשלתיים באמריקה הלטינית, באמצעות דלת אחורית חדשה בשם SparroWocky שמחליפה את הכלי הקודם של הקבוצה. מדובר בפעילות שנמשכת יותר משנה, ולפי ESET כ-90% מהיעדים שזוהו נמצאים באזור.

הפרטים

לפי המחקר, מאז אמצע 2025 מיקדה FamousSparrow את עיקר פעילותה בארגנטינה, אקוודור, גואטמלה, הונדורס, פנמה, פרו, פוארטו ריקו ווונצואלה. ESET מעריכה שהמטרה היא איסוף מודיעין על עמדות ממשלות באזור מול הלחץ הכלכלי הגובר של ארה"ב על סין. SparroWocky היא דלת אחורית מודולרית בשפת C++ המאפשרת הרצת פקודות וקבצים, איסוף פרטי מערכת, העברת קבצים, צילומי מסך תכופים ותפקוד כפרוקסי TCP — לצד טכניקות התחמקות מתקדמות כמו זיוף מקור קריאות, פענוח API דינמי וטעינת קוד זדוני בשיטת DLL side-loading עם מטען מוצפן.

הקבוצה משיגה התמדה במערכת הנגועה באמצעות שירות Windows מזויף בשם ProcAuditManager ומפתח רישום בשם SnapCart, לצד מדדי הדבקה (IoCs) שחברת ESET פרסמה בפומבי כדי לסייע לארגונים לזהות את הפעילות.

נקודות לשים לב

• הסיפור רלוונטי בעיקר לארגונים ממשלתיים וגופים ציבוריים הפועלים מול אמריקה הלטינית או בעלי סניפים באזור — לא קמפיין המוני נגד הציבור הרחב.
• אם יש לך פעילות באזורי היעד, בדוק מול צוות האבטחה שלך את מדדי ההדבקה שפרסמה ESET — במיוחד שירות בשם ProcAuditManager ומפתח רישום SnapCart.
• הקבוצה משתמשת בטכניקות התחמקות מתקדמות (זיוף מקור קריאות, פענוח API דינמי) שקשות לזיהוי בכלי אנטי-וירוס מסורתיים — הגנה מבוססת התנהגות ומערכות EDR יעילות יותר כאן.
• המסקנה הרחבה: קבוצות ריגול סיניות ממשיכות להשקיע בפיתוח כלים ייעודיים ולא להסתפק בכלים גנריים, מה שמעיד על מבצע ממושך ולא הזדמנותי.

מקורות: BleepingComputer