Hacker China Gunakan Malware SparroWocky dalam Spionase terhadap Pemerintah Amerika Latin

Kelompok spionase siber FamousSparrow yang dikaitkan dengan China diketahui menggunakan backdoor baru bernama SparroWocky dalam serangan terhadap organisasi pemerintah di Amerika Latin.

Operasi tersebut telah berlangsung selama lebih dari satu tahun. Dalam kampanye terbaru ini, SparroWocky menggantikan SparrowDoor, backdoor yang sebelumnya digunakan oleh kelompok tersebut.

Peneliti keamanan dari ESET menemukan aktivitas tersebut pada organisasi di Argentina, Ekuador, Guatemala, Honduras, Panama, Peru, Puerto Rico, dan Venezuela.

Menurut analisis ESET, tujuan operasi tersebut diduga berkaitan dengan pengumpulan informasi mengenai respons pemerintah negara-negara Amerika Latin terhadap meningkatnya tekanan Amerika Serikat terhadap kepentingan ekonomi China.

SparroWocky Menargetkan Pemerintah di Amerika Latin

ESET mengamati penggunaan SparroWocky dalam serangkaian serangan yang menargetkan organisasi pemerintah di kawasan Amerika Latin.

Negara yang teridentifikasi sebagai lokasi korban meliputi:

• Argentina
• Ekuador
• Guatemala
• Honduras
• Panama
• Peru
• Puerto Rico
• Venezuela

Data telemetri ESET menunjukkan bahwa sejak pertengahan 2025, aktivitas FamousSparrow semakin berfokus pada target di kawasan Amerika Latin.

Perubahan fokus geografis tersebut menjadi salah satu dasar analisis ESET mengenai tujuan operasi kelompok tersebut.

Backdoor C++ dengan Kemampuan Modular

SparroWocky merupakan backdoor modular yang ditulis dalam C++ dan memiliki sejumlah kode yang berasal dari proyek open source.

Malware ini dirancang untuk memberikan kemampuan kendali jarak jauh yang luas kepada operator.

Kemampuan yang ditemukan ESET antara lain:

• Menjalankan command dan executable.
• Memuat serta mengeksekusi Beacon Object Files (BOF) langsung di memory.
• Mengumpulkan informasi sistem, jaringan, pengguna, domain, dan versi Windows.
• Mengidentifikasi drive, direktori, file, display, serta sesi pengguna aktif.
• Mengunggah, mengunduh, menyalin, memindahkan, mengganti nama, dan menghapus file.
• Mengambil screenshot setiap 500 milidetik.
• Membuat proses pada session milik pengguna lain yang sedang login.
• Berfungsi sebagai TCP proxy dan meneruskan koneksi.
• Menghapus persistence serta file miliknya sendiri.

Kemampuan tersebut memungkinkan operator melakukan reconnaissance, menjalankan perintah, mengambil data, serta mempertahankan akses pada sistem yang telah dikompromikan.

Screenshot Diambil Setiap 500 Milidetik

Salah satu kemampuan SparroWocky yang cukup menonjol adalah mekanisme pengambilan screenshot.

Malware dapat mengambil gambar layar setiap 500 milidetik. Namun, untuk mengurangi jumlah data yang dikirim melalui jaringan, setelah screenshot penuh pertama dikirim, malware hanya mentransmisikan bagian layar yang mengalami perubahan.

Teknik tersebut memungkinkan operator memantau aktivitas pada desktop korban dengan mengurangi kebutuhan bandwidth dibandingkan mengirimkan gambar layar penuh secara terus-menerus.

Menggunakan DLL Side-Loading

SparroWocky disebarkan melalui teknik DLL side-loading.

Dalam proses tersebut, sebuah loader terlebih dahulu mendekripsi payload yang telah dienkripsi menggunakan RC4 dan disimpan di dalam file .dat.

Payload kemudian dipetakan langsung ke memory untuk membantu menghindari mekanisme deteksi yang bergantung pada keberadaan file executable berbahaya di disk.

Teknik ini menjadi bagian dari sejumlah mekanisme evasion yang digunakan SparroWocky untuk menyembunyikan aktivitasnya dari perangkat keamanan.

Menggunakan Berbagai Teknik Anti-Analysis

ESET menemukan bahwa SparroWocky menggunakan beberapa teknik untuk menyulitkan analisis dan deteksi.

Malware melakukan manipulasi terhadap struktur tingkat rendah di memory serta melakukan patching terhadap kode ketika program sedang berjalan.

Teknik lain yang ditemukan mencakup:

• Call stack spoofing.
• Threat origin spoofing.
• Dynamic API resolving.
• Menyamarkan kode berbahaya di memory sebagai komponen Windows yang legitimate.
• Menyamarkan DLL berbahaya sebagai komponen sistem Windows.

SparroWocky juga mengintersep proses pembuatan thread Windows untuk mengubah alamat awal thread.

Menyembunyikan Thread Berbahaya dari Produk Keamanan

Menurut ESET, SparroWocky menggunakan library MinHook untuk melakukan hooking terhadap fungsi CreateThread.

Tujuannya adalah menyembunyikan parameter lpStartAddress asli dari produk keamanan.

Dengan teknik tersebut, thread yang dibuat oleh SparroWocky akan terlihat seolah-olah dimulai dari fungsi Windows AnimateWindow.

Karena AnimateWindow merupakan komponen Windows yang legitimate, teknik tersebut berpotensi membuat aktivitas thread terlihat lebih normal bagi software keamanan yang melakukan pemeriksaan terhadap alamat awal thread.

Pendekatan ini menunjukkan bagaimana malware memanfaatkan fungsi sistem yang sah untuk menyamarkan aktivitas berbahaya.

Persistence Melalui Service atau Registry

SparroWocky memiliki beberapa mekanisme untuk mempertahankan akses setelah sistem melakukan reboot.

Malware dapat membuat persistence melalui Windows service bernama:

ProcAuditManager

Alternatif lainnya adalah menambahkan registry key bernama:

SnapCart

Registry key tersebut dapat ditempatkan pada HKLM atau HKCU, tergantung privilege yang tersedia bagi malware.

Dengan demikian, SparroWocky dapat memilih metode persistence berdasarkan tingkat akses yang berhasil diperoleh pada sistem korban.

Sedikitnya 18 Server C2 Ditemukan

Selama menganalisis kampanye tersebut, ESET menemukan setidaknya 18 alamat Command-and-Control (C2) yang berkomunikasi langsung dengan malware.

Komunikasi dilakukan menggunakan port 443 atau 8080, maupun melalui proxy HTTP dan SOCKS5.

Penggunaan beberapa alamat dan metode komunikasi dapat membantu operator mempertahankan konektivitas dengan sistem korban sekaligus memberikan fleksibilitas ketika sebagian infrastruktur C2 tidak lagi dapat digunakan.

ESET telah membagikan indikator kompromi (IoC) yang berkaitan dengan aktivitas FamousSparrow dan SparroWocky untuk membantu organisasi mendeteksi aktivitas tersebut.

ESET Mengaitkannya dengan Kelompok yang Berpengalaman

ESET belum hanya melihat kemampuan operasional SparroWocky, tetapi juga arsitektur dan teknik evasion yang digunakan malware tersebut.

Menurut peneliti, kombinasi teknik anti-analysis dan pemahaman terhadap Windows internals menunjukkan tingkat pengetahuan yang kuat mengenai mekanisme pertahanan sistem operasi.

Karakteristik tersebut sejalan dengan penilaian ESET bahwa aktivitas ini berkaitan dengan kelompok ancaman yang memiliki sumber daya dan pengalaman.

FamousSparrow sendiri merupakan kelompok spionase yang sebelumnya telah dikaitkan dengan operasi terhadap berbagai organisasi di sejumlah negara.

Dalam kampanye terbaru, SparroWocky menjadi pengganti SparrowDoor sebagai salah satu backdoor yang digunakan dalam operasi tersebut.

Fokus Serangan Bergeser ke Amerika Latin

Temuan ESET menunjukkan bahwa aktivitas FamousSparrow sejak pertengahan 2025 terutama berfokus pada target di Amerika Latin.

Dengan menargetkan organisasi pemerintah di sejumlah negara, kelompok tersebut berpotensi memperoleh informasi mengenai kebijakan dan respons pemerintah terhadap dinamika geopolitik dan ekonomi yang melibatkan China dan Amerika Serikat.

Meski demikian, tujuan tersebut merupakan penilaian peneliti berdasarkan pola target dan aktivitas yang diamati, bukan pengakuan dari pihak yang menjalankan operasi.

ESET menyediakan analisis teknis SparroWocky sekaligus daftar Indicators of Compromise (IoC) yang dapat digunakan tim keamanan untuk mendeteksi dan memblokir aktivitas terkait.

Sumber: ESET