FamousSparrow centra sus operaciones en América Latina y despliega el nuevo backdoor SparroWocky
El grupo de ciberespionaje vinculado a China conocido como FamousSparrow ha modificado su enfoque operativo para concentrarse de manera casi exclusiva en América Latina. Esta evolución en sus actividades incluye el uso de un nuevo backdoor modular en C++ denominado SparroWocky, el cual ha reemplazado progresivamente a su anterior implante principal, SparrowDoor. Los análisis indican que la adopción de este nuevo software malicioso comenzó tras un incremento de la actividad del grupo en la región, en lo que se interpreta como una posible reacción a los intereses y presiones de Estados Unidos en territorios latinoamericanos.
El despliegue de SparroWocky se lleva a cabo mediante un esquema de carga que utiliza técnicas de secuestro de DLL, modificando regiones de código para pasar desapercibido ante herramientas de seguridad automatizadas y análisis estáticos. Una vez ejecutado, el backdoor extrae y descifra su carga útil directamente en la memoria mediante algoritmos de cifrado, sin necesidad de escribir archivos en el disco para evitar la detección por patrones simples. Además, el implante incorpora bibliotecas públicas y de código abierto para establecer comunicaciones seguras, realizar operaciones de enganche de APIs y permitir la carga dinámica de complementos adicionales.
Las operaciones de este grupo se han dirigido contra entidades gubernamentales e infraestructura crítica en diversos países de la región, destacando objetivos en áreas de disputa comercial y estratégica. La utilización previa de herramientas exclusivas de FamousSparrow en las campañas con SparroWocky permite atribuir con alta confianza estas acciones al mismo actor de amenazas, el cual mantiene un perfil enfocado en el monitoreo de situaciones geopolíticas específicas en el continente.