FamousSparow APT verlässt sich auf SparrowDoor und die ProxyLogon-Sicherheitslücke
Die Hacker von FamousSparow APT sind ziemlich neue Spieler im Bereich der Cyberkriminalität. Ihre ersten Kampagnen wurden im März 2021 entdeckt, als sie die ProxyLogon-Sicherheitslücke in Microsoft Exchange-Servern ausnutzten. Während dieser Zeit missbrauchten fast ein Dutzend von Advanced Persistent Threat (APT)-Akteuren die Zero-Day-Schwachstelle, um Microsoft Exchange-Mailserver zu kapern. Heutzutage scheinen sich die FamousSparow APT-Hacker immer noch auf diese Schwachstelle zu verlassen, aber sie zielen auch auf andere Web-exponierte Anwendungen wie SharePoint und Oracle Opera. Ihre Ziele sind natürlich Netzwerke mit veralteten Versionen der Software, die potenziell anfällig für alte Exploits sind.
Der charakteristische Backdoor-Trojaner, den diese Hacker verwenden, ist SparrowDoor. Es ist derzeit sehr aktiv und hat es geschafft, Netzwerke in einem Dutzend Ländern zu infizieren, darunter Großbritannien, Brasilien, Kanada, Israel, Frankreich, Südafrika und andere. Obwohl sich die Mehrheit der aktiven Infektionen auf die Hotellerie zu konzentrieren scheint, verfolgen die FamousSparow APT-Hacker auch gemeinnützige Organisationen, Regierungen und Unternehmen aus dem Rechts- oder Maschinenbausektor. Trotzdem kann man davon ausgehen, dass Spionage die Hauptmotivation dieser Kriminellen ist.
Während die benutzerdefinierte SparrowDoor-Backdoor einen großen Teil des Angriffs abwickelt, verlassen sich die FamousSparow APT-Hacker auch auf öffentliche Tools – Mimikatz, ProcDump und Nbtscan. Die ersten beiden werden verwendet, um zu versuchen, Anmeldeinformationen vom infizierten System zu erhalten, während das Dienstprogramm Nbtscan ein NetBIOS-Scanner ist, der es Kriminellen ermöglicht, andere Geräte im selben Netzwerk zu kompromittieren.
Obwohl der Modus Operandi von FamousSparow APT Ähnlichkeiten mit anderen APT-Gruppen aufweist, ist es noch zu früh, um festzustellen, ob sie mit einer bekannteren Hacker-Gruppe verbunden sind. Ihre Netzwerkinfrastruktur scheint einzigartig zu sein und die SparrowDoor Backdoor wurde bisher nur von dieser speziellen Gruppe verwendet.
