SparroWocky: novo malware é usado em ataques de ciberespionagem contra governos

A ESET identificou um novo backdoor utilizado pelo grupo de ciberespionagem FamousSparrow em ataques contra organizações governamentais de vários países da América Latina. Batizado de SparroWocky, o malware está ativo pelo menos desde agosto de 2025 e terá substituído uma ferramenta anteriormente utilizada pelo grupo, conhecida como SparrowDoor.

Segundo os investigadores da ESET, o FamousSparrow é um grupo de ciberespionagem alinhado com a China e tem concentrado grande parte da sua atividade recente na América Latina. Desde meados de 2025 e ao longo de 2026, cerca de 90% dos alvos identificados pela telemetria da ESET estavam localizados nesta região.

Entre os países onde foram observados ataques estão Argentina, Equador, Guatemala, Honduras, Panamá, Peru, Porto Rico e Venezuela.

«Observámos a implantação do novo backdoor contra entidades governamentais» nestes países, explica Alexandre Côté Cyr, investigador da ESET, salientando que esta concentração geográfica é pouco habitual entre os grupos de ciberespionagem alinhados com a China acompanhados pela empresa.

SparroWocky é um backdoor sofisticado

Desenvolvido em C++, o SparroWocky apresenta uma arquitetura modular e utiliza diversas técnicas destinadas a dificultar a análise e a deteção por soluções de segurança.

O malware permite aos atacantes:

• Executar comandos no computador comprometido;
• Executar ficheiros arbitrários;
• Utilizar o equipamento como proxy TCP;
• Recolher informações sobre o sistema, incluindo nome da máquina, utilizador, domínio e versão do Windows;
• Obter os endereços IP das interfaces de rede;
• Exfiltrar ficheiros;
• Realizar capturas de ecrã de forma periódica.

Os dados roubados são cifrados através do RC4 e enviados para os atacantes através de TLS.

O SparroWocky também dispõe de mecanismos que lhe permitem manter a persistência no sistema comprometido. Dependendo da configuração utilizada, pode criar um serviço no Windows ou adicionar uma entrada numa chave Run do registo.

Malware utiliza técnicas para dificultar a deteção

Uma das características que mais chama a atenção dos investigadores é a utilização de técnicas anti-análise.

O backdoor manipula estruturas de baixo nível na memória e consegue modificar o próprio código durante a execução, dificultando a análise por parte dos investigadores e potencialmente evitando a deteção por software de segurança.

O FamousSparrow também continua a recorrer a ferramentas ofensivas de código aberto. Contudo, a ESET identificou uma evolução na forma como estas ferramentas são utilizadas.

O SparroWocky consegue integrar diretamente código de projetos de código aberto e executar Beacon Object Files (BOF), um formato utilizado por várias ferramentas de red teaming e testes de penetração.

Por que razão a América Latina?

A ESET considera que o aumento da atividade do FamousSparrow na região poderá estar relacionado com a crescente disputa de interesses entre a China e os Estados Unidos na América Latina.

A empresa aponta para as iniciativas da administração de Donald Trump na região e para o potencial impacto nos investimentos chineses realizados ao longo da última década, nomeadamente nos setores da energia, mineração e telecomunicações.

Neste contexto, a atividade do FamousSparrow poderá estar relacionada com a recolha de informação sobre a reação dos governos locais às pressões e mudanças geopolíticas na região.

Um dos casos identificados pela ESET envolve uma entidade no Panamá diretamente relacionada com o litígio comercial em torno de dois grandes portos localizados na zona do Canal do Panamá, que eram, até recentemente, operados por uma empresa sediada na China.

Quem é o FamousSparrow?

O FamousSparrow é um grupo de ciberespionagem que estará ativo desde, pelo menos, 2019. A ESET Research documentou publicamente o grupo pela primeira vez em setembro de 2021, na sequência da exploração da vulnerabilidade ProxyLogon.

Inicialmente, os ataques estavam associados sobretudo a hotéis em vários países. Com o passar do tempo, o grupo alargou o leque de alvos, passando a visar governos, organizações internacionais, associações empresariais, empresas de engenharia e escritórios de advogados.

O próprio nome SparroWocky tem uma origem curiosa. As primeiras amostras analisadas pelos investigadores continham a primeira estrofe de “Jabberwocky”, o conhecido poema de Lewis Carroll, autor de Alice no País das Maravilhas.

A descoberta demonstra também como os grupos de ciberespionagem continuam a adaptar as suas ferramentas, combinando código próprio com componentes e técnicas provenientes do ecossistema de ferramentas de segurança ofensiva.