FamousSparrow APT si affida a SparrowDoor e alla vulnerabilità ProxyLogon
Gli hacker di FamousSparrow APT sono giocatori abbastanza nuovi nel campo del crimine informatico. Le loro prime campagne sono state individuate nel marzo 2021, quando stavano sfruttando la vulnerabilità ProxyLogon nei server Microsoft Exchange. Durante questo periodo, quasi una dozzina di attori di Advanced Persistent Threat (APT) hanno abusato della vulnerabilità zero-day per dirottare i server di posta di Microsoft Exchange. Al giorno d'oggi, gli hacker di FamousSparrow APT sembrano fare ancora affidamento su questa vulnerabilità, ma prendono di mira anche altre applicazioni esposte al Web come SharePoint e Oracle Opera. Naturalmente, i loro obiettivi sono le reti che eseguono versioni obsolete del software, potenzialmente vulnerabili a vecchi exploit.
Il Trojan backdoor caratteristico utilizzato da questi hacker è SparrowDoor. Attualmente è molto attivo ed è riuscito a infettare reti in una dozzina di paesi, tra cui Regno Unito, Brasile, Canada, Israele, Francia, Sudafrica e altri. Sebbene la maggior parte delle infezioni attive sembri concentrata nel settore alberghiero, gli hacker di FamousSparrow APT perseguono anche organizzazioni senza scopo di lucro, governi e aziende nei settori della legge o dell'ingegneria. Detto questo, è lecito ritenere che lo spionaggio sia la motivazione principale di questi criminali.
Mentre la backdoor personalizzata di SparrowDoor gestisce gran parte dell'attacco, gli hacker di FamousSparrow APT si affidano anche a strumenti pubblici: Mimikatz, ProcDump e Nbtscan. I primi due vengono utilizzati per cercare di ottenere le credenziali di accesso dal sistema infetto, mentre l'utilità Nbtscan è uno scanner NetBIOS, che consente ai criminali di compromettere altri dispositivi sulla stessa rete.
Sebbene il modus operandi di FamousSparrow APT condivida somiglianze con altri gruppi APT, è troppo presto per determinare se sono collegati a un gruppo di hacker più noto. La loro infrastruttura di rete sembra essere unica e la SparrowDoor Backdoor è stata finora utilizzata solo da questo particolare gruppo.
