El grupo de espionaje FamousSparrow ha desplegado un nuevo backdoor denominado SparroWocky tras vulnerar servidores de Microsoft Exchange expuestos a internet. Esta campaña demuestra la capacidad del grupo para convertir sistemas de correo electrónico en puntos de acceso silenciosos y prolongados dentro de redes gubernamentales, comprometiendo no solo el servidor inicial sino también la información sensible contenida en él.

FamousSparrow ha introducido una nueva puerta trasera llamada SparroWocky tras irrumpir en servidores de Microsoft Exchange expuestos a Internet.

La campaña muestra cómo un grupo de espionaje conocido puede convertir un sistema de correo electrónico expuesto en un punto de entrada silencioso y a largo plazo dentro de una red gubernamental.

El impacto se extiende más allá del primer host, ya que los servidores de correo suelen contener mensajes confidenciales y conexiones de red confiables.

La actividad se ha concentrado en América Latina desde mediados de 2025, teniendo entre sus objetivos observados a los gobiernos de Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela.

Los investigadores registraron que el 90 por ciento de los objetivos del grupo en la región se situaron entre mediados de 2025 y 2026, lo que marca un cambio brusco respecto a su enfoque mundial anterior. Analistas de Welivesecurity identificaron el malware como el nuevo implante principal de FamousSparrow, sustituyendo a SparrowDoor desde agosto de 2025.

El grupo, activo al menos desde 2019, estuvo previamente asociado con ataques que explotaban ProxyLogon, mientras que informes recientes también detallaron la brecha de Exchange de FamousSparrow en una red del sector energético.

Welivesecurity afirmó en un informe que SparroWocky es una puerta trasera modular escrita en lenguaje C, diseñada para el sigilo y un control flexible por parte del operador.

Su llegada es importante porque combina el robo de datos y el acceso remoto con técnicas destinadas a dificultar la investigación y la detección.

FamousSparrow explota servidores Exchange expuestos

FamousSparrow obtuvo el acceso inicial explotando servidores Exchange accesibles públicamente, según el mapeo de la intrusión realizado por los investigadores.

Este es un peligro conocido para las organizaciones que operan infraestructuras de correo locales: una sola debilidad orientada a Internet puede proporcionar a un atacante un punto de apoyo antes de que entren en juego las protecciones normales del usuario. El grupo utiliza un cargador de tres partes compuesto por un ejecutable legítimo, una DLL maliciosa y un archivo de carga útil cifrado.

El ejecutable carga la librería falsa mediante DLL side-loading, permitiendo que el código malicioso se mezcle con un programa confiable, una técnica también vista en este análisis de puerta trasera silenciosa de Windows.

El cargador descifra la carga útil y la mapea directamente en la memoria en lugar de guardar la puerta trasera final en el disco. Puede establecer persistencia a través de un servicio de Windows o una clave de ejecución del Registro, y luego recopilar el nombre del equipo, detalles del usuario y del dominio, la versión de Windows y las direcciones de la interfaz de red.

Una vez conectada, SparroWocky puede ejecutar comandos, mover o eliminar archivos, capturar capturas de pantalla y enviar material robado a través de su canal de comando y control. También puede actuar como un proxy TCP, dando potencialmente a los operadores una ruta para llegar a otros sistemas desde un host comprometido.

Las funciones de sigilo aumentan la presión de defensa

La puerta trasera utiliza TLS para el tráfico de comandos y cifrado RC4 para el contenido transmitido. Puede cargar Beacon Object Files (módulos compactos utilizados por herramientas de red-team), lo que permite a los operadores ampliar el implante sin desplegar un programa completo independiente en el disco.

Sus autores también incorporaron medidas para confundir el monitoreo de seguridad. SparroWocky puede disfrazar las pilas de llamadas, localizar dinámicamente funciones de Windows, ocultar direcciones de inicio de hilos y crear un registro falso de un módulo cargado.

Estas características hacen que las alertas rutinarias sean menos fiables y aumentan el valor de la investigación basada en el comportamiento y la memoria. La prioridad inmediata es parchear los servidores Exchange expuestos a Internet, eliminar o restringir el acceso público innecesario y verificar que los servidores ejecuten versiones actuales y compatibles.

Tú y tu equipo deberíais tratar el código de explotación público y los informes de explotación de servidores Exchange expuestos como un recordatorio para inventariar los servicios externos, en lugar de asumir que los controles perimetrales son suficientes.

Como defensor, también deberías buscar indicios de DLL side-loading inesperado, nuevos servicios o entradas de ejecución en el Registro, archivos de carga útil .dat sospechosos y sesiones TLS salientes inusuales hacia las direcciones enumeradas.

Revisa los registros de Exchange e IIS en busca de actividad anormal, aísla los hosts sospechosos, preserva la evidencia en memoria, rota las credenciales potencialmente expuestas e investiga los sistemas cercanos en busca de accesos posteriores.

Esta campaña ilustra un cambio más amplio en el que un grupo de intrusión probado está combinando el espionaje regional selectivo con un implante personalizado más capaz.

Las organizaciones que dependan de sistemas Exchange expuestos deben hacer que el parcheo rápido, las comprobaciones continuas de exposición y la búsqueda posterior al compromiso sean partes rutinarias de su plan de defensa.

Fuentes:
https://cybersecuritynews.com/famoussparrow-exploits/