FamousSparrow APT s'appuie sur SparrowDoor et la vulnérabilité ProxyLogon
Les pirates de l'APT FamousSparrow sont des acteurs relativement nouveaux dans le domaine de la cybercriminalité. Leurs premières campagnes ont été repérées en mars 2021, alors qu'elles exploitaient la vulnérabilité ProxyLogon dans les serveurs Microsoft Exchange. Au cours de cette période, près d'une douzaine d'acteurs APT (Advanced Persistent Threat) ont abusé de la vulnérabilité zero-day pour pirater les serveurs de messagerie Microsoft Exchange. De nos jours, les pirates informatiques de FamousSparrow APT semblent toujours s'appuyer sur cette vulnérabilité, mais ils ciblent également d'autres applications exposées au Web telles que SharePoint et Oracle Opera. Bien entendu, leurs cibles sont les réseaux exécutant des versions obsolètes du logiciel, potentiellement vulnérables aux anciens exploits.
Le cheval de Troie de porte dérobée signature utilisé par ces pirates est SparrowDoor. Il est actuellement très actif, et a réussi à infecter des réseaux dans une dizaine de pays, dont le Royaume-Uni, le Brésil, le Canada, Israël, la France, l'Afrique du Sud, etc. Bien que la majorité des infections actives semblent être concentrées dans l'industrie hôtelière, les pirates de l'APT de FamousSparrow s'attaquent également aux organisations à but non lucratif, aux gouvernements et aux entreprises des secteurs du droit ou de l'ingénierie. Cela dit, il est prudent de supposer que l'espionnage est la principale motivation de ces criminels.
Alors que la porte dérobée personnalisée SparrowDoor gère une grande partie de l'attaque, les pirates de l'APT FamousSparrow s'appuient également sur des outils publics - Mimikatz, ProcDump et Nbtscan. Les deux premiers sont utilisés pour essayer d'obtenir les identifiants de connexion du système infecté, tandis que l'utilitaire Nbtscan est un scanner NetBIOS, qui permet aux criminels de compromettre d'autres appareils sur le même réseau.
Bien que le modus operandi de l'APT FamousSparrow partage des similitudes avec d'autres groupes APT, il est trop tôt pour déterminer s'ils sont connectés à un groupe de piratage plus connu. Leur infrastructure réseau semble être unique et la porte dérobée SparrowDoor n'a jusqu'à présent été utilisée que par ce groupe particulier.
