FamousSparrow APT vertrouwt op SparrowDoor en de ProxyLogon-kwetsbaarheid
De hackers van de FamousSparrow APT zijn vrij nieuwe spelers op het gebied van cybercriminaliteit. Hun eerste campagnes werden opgemerkt in maart 2021, toen ze misbruik maakten van de ProxyLogon-kwetsbaarheid in Microsoft Exchange-servers. Tijdens deze periode maakten bijna een dozijn Advanced Persistent Threat (APT)-actoren misbruik van de zero-day-kwetsbaarheid om Microsoft Exchange-mailservers te kapen. Tegenwoordig lijken de FamousSparrow APT-hackers nog steeds op deze kwetsbaarheid te vertrouwen, maar ze richten zich ook op andere op het web blootgestelde applicaties zoals SharePoint en Oracle Opera. Natuurlijk zijn hun doelen netwerken met verouderde versies van de software, die mogelijk kwetsbaar zijn voor oude exploits.
De kenmerkende backdoor-trojan die deze hackers gebruiken, is SparrowDoor. Het is momenteel erg actief en is erin geslaagd netwerken te infecteren in een tiental landen, waaronder het Verenigd Koninkrijk, Brazilië, Canada, Israël, Frankrijk, Zuid-Afrika en andere. Hoewel het merendeel van de actieve infecties geconcentreerd lijkt te zijn in de hotelindustrie, jagen de FamousSparrow APT-hackers ook op non-profitorganisaties, overheden en bedrijven in de juridische of technische sector. Dat gezegd hebbende, is het veilig om aan te nemen dat spionage de primaire motivatie is van deze criminelen.
Terwijl de aangepaste SparrowDoor-achterdeur een groot deel van de aanval afhandelt, vertrouwen de FamousSparrow APT-hackers ook op openbare tools - Mimikatz, ProcDump en Nbtscan. De eerste twee worden gebruikt om inloggegevens van het geïnfecteerde systeem te verkrijgen, terwijl het Nbtscan-hulpprogramma een NetBIOS-scanner is, waarmee de criminelen andere apparaten op hetzelfde netwerk kunnen binnendringen.
Hoewel de modus operandi van FamousSparrow APT overeenkomsten vertoont met andere APT-groepen, is het te vroeg om te bepalen of ze verbonden zijn met een bekendere hackgroep. Hun netwerkinfrastructuur blijkt uniek te zijn en de SparrowDoor Backdoor is tot nu toe alleen door deze specifieke groep gebruikt.
