Backdoor SparrowDoor: una minaccia informatica con capacità avanzate

I ricercatori di sicurezza informatica hanno scoperto una rinnovata campagna di spionaggio informatico orchestrata dal gruppo di hacker FamousSparrow, che è stata collegata a un recente attacco che ha preso di mira un'organizzazione commerciale statunitense e un istituto di ricerca messicano. Al centro di questa operazione c'è la backdoor SparrowDoor, uno strumento avanzato progettato per infiltrarsi e persistere nei sistemi presi di mira, facilitando il furto di dati occulti e l'accesso non autorizzato.

Cos'è SparrowDoor Backdoor?

SparrowDoor è un impianto backdoor, identificato per la prima volta nel 2021 , che è stato associato esclusivamente al gruppo FamousSparrow. Questo strumento consente agli aggressori di eseguire comandi, manipolare file, raccogliere informazioni e persino disinstallarsi quando necessario per eludere il rilevamento. Di recente, sono state identificate due nuove versioni di SparrowDoor, che mostrano miglioramenti significativi in termini di efficienza e modularità.

Una di queste versioni è stata sviluppata in modo modulare, integrando un'architettura basata su plugin che ne estende la funzionalità. Questi moduli consentono agli aggressori di registrare le sequenze di tasti, eseguire comandi remoti, avviare servizi proxy, catturare schermate e monitorare le modifiche del file system. Questa progettazione garantisce agli operatori un controllo preciso sui sistemi compromessi e aumenta la versatilità della backdoor.

Come funziona SparrowDoor?

L'attacco inizia con l'implementazione di una web shell su un server Internet Information Services (IIS), che funge da gateway per la distribuzione di payload dannosi. Il metodo esatto per ottenere l'accesso iniziale rimane poco chiaro. Tuttavia, si ritiene che software obsoleti, come vecchie versioni di Windows Server e Microsoft Exchange Server, abbiano svolto un ruolo nel facilitare la violazione.

Una volta dentro, gli aggressori eseguono uno script batch che distribuisce una web shell incorporata basata su .NET. Questa web shell secondaria installa quindi SparrowDoor, stabilendo un punto d'appoggio persistente all'interno della rete compromessa. Uno dei principali miglioramenti della backdoor è la sua capacità di eseguire comandi di lunga durata senza interrompere la comunicazione con il server di comando e controllo (C&C). Ciò significa che la backdoor può elaborare nuove istruzioni e contemporaneamente eseguire operazioni che richiedono molto tempo, come trasferimenti di file o interazioni con la shell.

Quali sono le sue capacità?

SparrowDoor offre un ampio set di comandi che consentono agli aggressori di:

• Avvia sessioni shell interattive per il controllo in tempo reale.
• Trasferire file tra il computer della vittima e il server C&C.
• Registra i tasti premuti per acquisire informazioni sensibili.
• Impostare un proxy TCP per instradare il traffico dannoso.
• Monitora i cambiamenti nelle directory specificate.
• Cattura schermate per monitorare visivamente l'attività dell'utente.
• Enumera e termina i processi in esecuzione.

Queste caratteristiche rendono SparrowDoor uno strumento efficace per lo spionaggio informatico a lungo termine, l'esfiltrazione di dati e l'infiltrazione persistente nella rete.

Il collegamento con altre minacce informatiche

Sebbene FamousSparrow sia stato collegato ad altri gruppi di minacce note, tra cui Earth Estries, GhostEmperor e Salt Typhoon, gli analisti della sicurezza informatica continuano a trattarlo come un'entità distinta. Ciò è dovuto alle sue metodologie di attacco uniche e all'uso esclusivo di SparrowDoor.

L'ultima campagna del gruppo segna anche il primo caso documentato di distribuzione di ShadowPad, un altro malware altamente sofisticato precedentemente associato ad attori sponsorizzati dallo stato cinese. Ciò suggerisce che FamousSparrow potrebbe condividere strumenti o allineare le sue operazioni con altre minacce persistenti avanzate (APT), complicando ulteriormente gli sforzi di attribuzione.

Implicazioni dell'attacco

L'emergere di una backdoor SparrowDoor potenziata ha gravi implicazioni per la sicurezza informatica globale. Le organizzazioni che gestiscono sistemi obsoleti o non patchati sono particolarmente vulnerabili a questa minaccia, poiché i metodi di attacco si basano sullo sfruttamento di debolezze note nell'infrastruttura aziendale.

La capacità di SparrowDoor di mantenere la persistenza ed eseguire attività parallele lo rende uno strumento formidabile per lo spionaggio informatico. Ciò solleva preoccupazioni circa il potenziale di furto e sorveglianza della proprietà intellettuale e i rischi più ampi posti alle industrie critiche. Gli istituti di ricerca, le agenzie governative e le organizzazioni del settore privato che gestiscono dati sensibili devono rimanere vigili contro tali minacce.

Misure difensive

Per mitigare il rischio rappresentato da SparrowDoor e da minacce informatiche simili, le organizzazioni dovrebbero adottare misure proattive, tra cui:

• Patching regolare: garantire che tutto il software, in particolare Windows Server e Microsoft Exchange, sia aggiornato alle ultime versioni di sicurezza.
• Monitoraggio della rete: implementazione di sistemi avanzati di rilevamento delle minacce per identificare modelli di traffico insoliti e tentativi di accesso non autorizzati.
• Sicurezza degli endpoint: implementazione di soluzioni di protezione degli endpoint efficaci in grado di rilevare e neutralizzare malware avanzati.
• Controllo degli accessi: limitazione dei privilegi amministrativi per ridurre al minimo la superficie di attacco.
• Pianificazione della risposta agli incidenti: preparazione di piani di emergenza per rispondere rapidamente agli incidenti informatici e ridurre al minimo i potenziali danni.

Considerazioni finali

La scoperta delle ultime varianti di SparrowDoor segnala che FamousSparrow rimane una minaccia informatica attiva e in continua evoluzione. Con le sue sofisticate capacità, l'architettura modulare e i potenziali collegamenti ad altri gruppi APT, la backdoor rappresenta un rischio significativo per le organizzazioni in tutto il mondo. Poiché le minacce informatiche non smettono di evolversi, aziende e istituzioni devono adottare misure di sicurezza informatica efficaci per difendersi da avversari così persistenti e adattabili.