SparrowDoor Backdoor, un troyano personalizado de FamousSparrow APT
El grupo de amenazas persistentes avanzadas de FamousSparrow (APT) es un nombre bastante nuevo en el campo del delito cibernético. Recientemente, sus actividades y campañas han sido observadas de cerca por investigadores de malware, y se ha descubierto el primer implante que utilizan los delincuentes. La amenaza, llamada SparrowDoor, se emplea en ataques contra la industria hotelera. Sin embargo, también se vieron algunas copias de SparrowDoor Backdoor en redes pertenecientes a empresas de ingeniería, bufetes de abogados y organismos gubernamentales. La lista de países a los que apunta FamousSparrow APT es bastante larga: Canadá, Israel, Francia, Taiwán, Lituania, Brasil y muchos otros.
A menudo, los actores de amenazas de alto perfil confían en los mensajes de phishing para penetrar en la seguridad de una red y explotar a los empleados. Sin embargo, SparrowDoor parece infectar a menudo los sistemas mediante la explotación de aplicaciones vulnerables conectadas a la Web. En resumen, esto significa que los delincuentes suelen buscar sistemas que ejecuten software desactualizado, que tiene ciertas vulnerabilidades.
La puerta trasera de SparrowDoor se centra en las operaciones de espionaje
Una vez que está en funcionamiento, la puerta trasera configura un nuevo servicio y también usa el Registro de Windows para ganar persistencia. Por lo general, sus archivos se almacenan en la carpeta% APPDATA%, con nombres falsos. Para controlar la puerta trasera, los atacantes deben autenticarse con un nombre de usuario y una contraseña. Los delincuentes pueden utilizar SparrowDoor para ejecutar las siguientes tareas:
- Modifique el sistema de archivos.
- Gestionar procesos en ejecución.
- Robar archivos específicos.
- Busque archivos específicos y transfiéralos al servidor de control.
- Ejecute comandos remotos.
- Retire el implante.
Los piratas informáticos se basan principalmente en la explotación de vulnerabilidades en SharePoint, Microsoft Exchange Server y Oracle Opera. Sin embargo, no hay límite para la cantidad de aplicaciones de Internet a las que se dirigen. Los administradores web deben tomar las medidas necesarias para actualizar todo el software a fin de evitar que SparrowDoor y amenazas similares penetren en su seguridad.
