Ecosistema Malware Sparrow: tre campagne di cyber spionaggio colpiscono telco e governi in tre continenti

Negli ultimi mesi sono emerse tre campagne di cyber espionage apparentemente separate ma in realtà collegate da un ecosistema comune di malware chiamato Sparrow. Le attività osservate hanno preso di mira provider di telecomunicazioni, enti governativi, organizzazioni militari, istituti di ricerca e infrastrutture critiche in America Latina, Asia ed Europa.

Il collegamento tra i diversi cluster è stato ricostruito grazie a somiglianze nel codice, nell’infrastruttura di comando e controllo e nelle tecniche di distribuzione dei backdoor.

I tre cluster principali sono noti come SilentDelivery, OceanGate e DarkWire. Pur usando toolset differenti e vettori di accesso iniziale diversi, condividono componenti e logiche operative riconducibili al framework Sparrow, che agisce come piattaforma modulare per impianti su Windows e Linux. Questo tipo di catena di fornitura di strumenti suggerisce l’esistenza di un soggetto che sviluppa e mantiene moduli riutilizzabili destinati a più gruppi di minaccia con interessi convergenti.

SilentDelivery

SilentDelivery si distingue per attacchi watering hole altamente selettivi. Gli aggressori compromettono siti legittimi frequentati dai bersagli e iniettano JavaScript fortemente offuscato. In seguito, la vittima visualizza un falso avviso di certificato SSL su Chrome che invita a installare una utility di riparazione certificati. Il pacchetto, spesso un installer MSI trojanizzato, rilascia un backdoor come SquadC o varianti di SparrowDoor. La catena include controlli su sistema operativo, dominio e profilazione tramite richieste ripetute verso server C2 per decidere se procedere con l’infezione.

OceanGate

OceanGate combina intrusioni su server Linux esposti in rete con movimento laterale verso ambienti Windows. Nella fase Linux compaiono backdoor in Go e componenti modulari capaci di tunneling SSH, port forwarding, SOCKS proxy e funzioni di pivoting interno. Dopo il furto di credenziali, l’attore tenta accessi RDP fino a ottenere privilegi amministrativi, quindi distribuisce strumenti di post-exploitation per ricognizione, keylogging e raccolta di credenziali NTLM e Kerberos. In alcuni casi vengono impiegate capacità a livello kernel per eludere i controlli e rendere il traffico più difficile da individuare, anche mascherandolo dietro porte tipiche come 443.

DarkWire

DarkWire è focalizzato su America Latina e su operatori telco e istituzioni pubbliche. Qui emergono backdoor come CopperDoor e CopperDNS, con tecniche come DNS tunneling tramite query MX e un forte uso di DLL sideloading. Un elemento rilevante è la scelta di infrastrutture vicine geograficamente alle vittime, utile a confondere il traffico malevolo con quello legittimo e ridurre la probabilità di detection.