Detectan ciberespionaje realizados por FamousSparrow en México y Estados Unidos

Estados Unidos. – Investigadores de ESET, líder mundial en seguridad cibernética, identificaron actividades inusuales en el sistema de un grupo comercial de Estados Unidos (EE.UU.) que trabaja en el sector financiero. Descubrieron herramientas maliciosas en la red de la víctima, vinculadas a FamousSparrow, un grupo de Amenaza Persistente Avanzada (APT) y ciberespionaje en colaboración con China.

• Adicionalmente, se reveló que, en el marco de esta campaña, el responsable de la amenaza consiguió ingresar a un centro de investigación en México apenas un par de días antes del ataque en Estados Unidos.

Al implementar un monitoreo basado, los especialistas descubrieron actividad extra del grupo entre 2022 y 2024, la cual continúa siendo objeto de investigación. Entre otros propósitos, se incluía una entidad gubernamental hondureña.

FamousSparrow no ha desaparecido

Desde 2022, no se había registrado ninguna actividad de FamousSparrow, lo que llevaba a pensar que el grupo de ciberespionaje no estaba en funcionamiento; no obstante, mantenía una presencia indirecta.

“FamousSparrow no sólo seguía activo durante este periodo, sino que también debía estar trabajando duro para desarrollar su conjunto de herramientas, ya que la red comprometida reveló no una, sino dos versiones previamente no documentadas de SparrowDoor, el backdoor insignia de FamousSparrow”. ESET

Las dos versiones de SparrowDoor representan un progreso significativo en comparación con las previas, en particular en lo que respecta a la calidad del código y la arquitectura, según la empresa de ciberseguridad.

• La primera se asemeja al “malware de puerta trasera”, que facilita a los atacantes el acceso a un sistema sin ser identificados, a la que los investigadores de Trend Micro le llamaron CrowDoor y que en noviembre de 2024 se le atribuyó al grupo Earth Estries APT.

• La segunda es distinta a las versiones previas y representa la primera ocasión en que se registra que FamousSparrow emplea Shadowpad, un “malware de puerta trasera” de venta privada, famoso por suministrarse exclusivamente a actores de amenazas relacionados con China.

¿De qué manera los especialistas identificaron a FamousSparrow?

Pese a que FamousSparrow se mostraba inactivo en el instante de nuestro hallazgo, ESET atribuyó esta actividad al grupo con una gran fiabilidad.

“Los cargos activados son nuevas versiones de SparrowDoor, un backdoor (malware de puerta trasera) que parece pertenecer únicamente a este grupo”, de acuerdo con los científicos.

A pesar de que estas últimas versiones exhiben avances notables en la calidad del código y la arquitectura, aún es posible seguir directamente a versiones previas, documentadas de manera pública.

Fuente: Agencias