FamousSparrow usa SparroWocky en LATAM

Resumen ejecutivo

ESET atribuyó con alta confianza a FamousSparrow una campaña de ciberespionaje contra gobiernos de América Latina basada en un nuevo backdoor modular en C++ llamado SparroWocky. La telemetría que la firma analizó entre mediados de 2025 y 2026 ubica cerca del 90% de los objetivos observados en la región, con actividad en Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela.

El cambio técnico principal es el reemplazo de SparrowDoor por SparroWocky. El nuevo implante no solo amplía la capacidad operativa del grupo, también eleva el costo de detección. Se distribuye mediante DLL sideloading, usa un archivo .dat cifrado con RC4 que contiene configuración y payload, y se carga de forma reflectiva en memoria. Ese diseño evita escribir el backdoor en disco y complica la inspección por herramientas que dependen de patrones clásicos de Portable Executable.

La caja de herramientas del malware es amplia. Las fuentes coinciden en que SparroWocky ejecuta comandos, archivos y shell interactiva, actúa como proxy TCP, exfiltra información, toma capturas de pantalla periódicas, recolecta datos del host y del entorno de red, y puede autodestruirse. También ejecuta Beacon Object Files en memoria, lo que le permite reutilizar módulos pensados para frameworks ofensivos como Cobalt Strike, Sliver, Metasploit y Brute Ratel. En varias descripciones aparece como una familia de malware separada, no como una simple evolución lineal de SparrowDoor.

La atribución pública quedó marcada por una aclaración metodológica. Aunque varios títulos de cobertura periodística usan el nombre Salt Typhoon, ESET sostiene que no hay indicadores técnicos suficientes para fusionarlo con FamousSparrow. WindowsForum y la versión de WeLiveSecurity en español enfatizan ese matiz y advierten contra equiparar ambos nombres. En la práctica, eso obliga a leer los reportes con cuidado: la actividad de SparroWocky fue vinculada con alta confianza a FamousSparrow, mientras que el uso de Salt Typhoon aparece como correlato editorial en algunas coberturas, no como conclusión confirmada por la muestra técnica pública.

El contexto regional se completa con dos campañas de Mirage Security publicadas en septiembre de 2026. Una apunta a bancos brasileños mediante phishing con adjuntos de currículum, herramientas de tunelización y malware de acceso remoto. La otra, identificada como CL-CRI-1131, se enfoca en México con scripts living-off-the-land, exfiltración de datos y un chatbot de IA llamado NextChat desplegado en infraestructura controlada por los atacantes. No hay evidencia de que esas campañas estén conectadas con FamousSparrow, pero sí muestran un ecosistema de intrusión en América Latina donde conviven espionaje estatal, phishing multietapa, despliegue de malware modular y apoyo operacional mediante IA.

Contexto y antecedentes

FamousSparrow venía apareciendo en la literatura técnica como un actor de ciberespionaje alineado con China, pero el informe de ESET de septiembre de 2026 lo reposicionó con un grado de detalle mayor. La telemetría recogida desde mediados de 2025 mostró un giro claro hacia América Latina, región que concentró aproximadamente el 90% de los objetivos observados por la firma. Ese dato es el que sostiene el carácter regional de la campaña y explica por qué tantos reportes secundarios repiten la misma lista de países.

El detalle más relevante no es solo el volumen relativo de objetivos, sino el patrón. Los blancos observados fueron entidades gubernamentales, no un conjunto disperso de compañías privadas. La selección de organismos de Estado apunta a recolección de inteligencia, acceso prolongado y vigilancia de comunicaciones, no a una operación oportunista de monetización. Dark Reading agrega un contexto interpretativo, al señalar que la campaña se orienta a agencias vinculadas con inversiones chinas y asuntos políticos que involucran a Estados Unidos. Esa lectura es analítica y no debe tomarse como atribución adicional, pero ayuda a explicar el interés estratégico detrás de la región.

SparroWocky reemplazó a SparrowDoor como implante principal del grupo. Ese reemplazo aparece confirmado en ESET, Infosecurity Magazine, WeLiveSecurity, The Register, CyberInsider, Mallory.ai y otros análisis secundarios. La coincidencia entre fuentes sugiere que no se trata de una muestra aislada, sino de una actualización de la línea operativa del grupo. En términos defensivos, esto importa porque cada cambio de implante altera artefactos, patrones de detección y comportamiento en memoria.

La discusión pública también quedó cruzada por una confusión nominal. Parte de la cobertura periodística usó el nombre Salt Typhoon, mientras que ESET mantuvo la separación entre FamousSparrow y Salt Typhoon por falta de indicadores técnicos que prueben que se trata de una única operación. WindowsForum remarca ese punto de forma explícita, y WeLiveSecurity lo reproduce en su versión en español. La consecuencia práctica es simple: no conviene mezclar nombres de forma automática en reglas, reportes o matrices internas de atribución.

En paralelo, Mirage Security aportó dos estudios de intrusión que no están atribuidos al mismo actor, pero sí sirven como referencia de tendencias regionales. En Brasil, el caso CL-CRI-1163 describe una operación multietapa contra el sector financiero. En México, el clúster CL-CRI-1131 combina living-off-the-land, exfiltración y una infraestructura donde se expone NextChat, un chatbot de IA que los propios atacantes usaban para depurar y generar scripts. Ese segundo caso es especialmente relevante porque muestra una infraestructura ofensiva híbrida, con automatización y exposición accidental de activos del atacante.

Tabla de hechos clave

Timeline de la operación

Cadena de ataque y TTPs

SparroWocky está diseñado para entrar por una cadena de carga lateral de DLL y quedarse en memoria. La secuencia descrita por Cloud Security Alliance y Mallory.ai combina un ejecutable legítimo, una DLL parcheada maliciosa y un archivo .dat cifrado con RC4 que contiene tanto la configuración como el payload. El loader lee ese archivo, descifra ambos componentes y los ejecuta de forma reflectiva, sin dejar el backdoor escrito en disco.

Ese mecanismo tiene dos efectos prácticos. El primero es la reducción de huella forense, porque la muestra principal vive en memoria y no necesariamente en un binario fácilmente recuperable del sistema de archivos. El segundo es la flexibilidad operacional, ya que el operador puede cambiar configuración, módulos o parámetros sin rehacer toda la cadena. HackRead añade que el payload PE puede cargar con las cabeceras MZ y PE eliminadas, lo que complica la detección por escaneo de memoria.

La persistencia aparece implementada por dos vías, según la configuración observada. El implante puede crear un servicio de Windows o una clave Run en el registro. Esa dualidad permite adaptar el comportamiento a los controles presentes en el host y al nivel de sigilo buscado por el operador. En entornos monitoreados, la detección de estas claves, junto con rutas anómalas de DLL, puede ser más útil que la simple búsqueda del binario del backdoor.

La parte funcional es amplia. ESET, Infosecurity Magazine, The Hacker News, Cyware y Mallory.ai coinciden en que SparroWocky puede ejecutar comandos, lanzar archivos, interactuar con una shell, exfiltrar archivos, listar discos, carpetas, archivos, pantallas y sesiones de usuario, tomar capturas periódicas y funcionar como proxy TCP. También incorpora reverse port forwarding y un mecanismo para autodestruirse. En términos de capacidad, no es un implante mínimo sino una plataforma de operación remota completa.

La vigilancia visual merece un párrafo propio. BleepingComputer documentó que el malware toma capturas cada 500 milisegundos y, después de la primera imagen completa, transmite solo las regiones modificadas. Esa optimización reduce el consumo de ancho de banda y baja el ruido de red. Para un equipo de defensa, el resultado es una sesión de espionaje más silenciosa que una simple captura periódica de pantalla en bruto.

SparroWocky también se apoya en código y técnicas tomadas de proyectos existentes. Varias fuentes coinciden en Mbed TLS para comunicaciones cifradas, MinHook para hooking de APIs y técnicas de evasión asociadas a SilentMoonwalk y spoofing de la pila de llamadas. CyberInsider y Offseq Radar agregan que el backdoor integra Beacon Object Files y carga módulos asociados a Cobalt Strike, Metasploit, Sliver y Brute Ratel. Eso sugiere una cadena de ataque modular, con reutilización de tooling ofensivo y una capa de integración bastante madura.

TTPs observadas en SparroWocky

Impacto regional

Panorama regional

El impacto geográfico del caso es claro. La campaña de SparroWocky se concentra en gobiernos latinoamericanos y deja a América Latina como epicentro de la telemetría observada por ESET. El material no muestra una dispersión homogénea, sino un patrón con predominio de organismos públicos y una persistencia temporal que se extiende desde al menos agosto de 2025 hasta septiembre de 2026.

La lista de países afectados aparece repetida en múltiples medios y coincide con la publicación de ESET: Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. Esa reiteración da solidez al conjunto de hechos. También permite una lectura operativa: no estamos frente a una campaña masiva de oportunismo, sino ante un esfuerzo sostenido de acceso a redes gubernamentales concretas.

Un detalle metodológico conviene dejarlo asentado. WindowsForum subraya que el reporte público de ESET no identifica agencias concretas ni número de endpoints comprometidos. Por eso, la evidencia confirma targeting y despliegue de malware, pero no permite afirmar compromisos generalizados de cada gobierno. Esa diferencia entre blanco observado y alcance real del incidente importa para cualquier lectura interna.

Argentina

Argentina aparece de manera consistente en la lista de víctimas observadas por ESET y en coberturas de Infosecurity Magazine, The Register, BleepingComputer, Dark Reading, TechRadar Pro y otras fuentes secundarias. El patrón es el mismo que en el resto de la región, con foco en organismos gubernamentales y uso del backdoor SparroWocky como herramienta de acceso sostenido.

Cyware y WindowsForum refuerzan ese punto al incluir a Argentina entre los gobiernos latinoamericanos afectados por la campaña y al mismo tiempo advertir que la atribución pública sigue siendo FamousSparrow, no una amalgama automática con Salt Typhoon. Para un equipo de defensa argentino, la conclusión útil es doble: la presencia del implante es plausible y la atribución debe manejarse con precisión.

Perú

Perú figura repetidamente en el material como uno de los países observados por ESET. The Manila Times, The Record, BleepingComputer, Infosecurity Magazine, TechRadar Pro, CyberInsider, WBOC y Offseq Radar lo incluyen entre los objetivos gubernamentales de SparroWocky. Eso indica que la campaña no fue marginal ni aislada en el país, sino parte de la misma serie regional de intrusiones.

La repetición de Perú en medios técnicos y generalistas también sugiere una continuidad temporal. The Record sitúa el seguimiento desde al menos agosto de 2025, mientras que TechRadar Pro habla de actividad entre mediados de 2025 y 2026. En términos de lectura defensiva, eso obliga a asumir una campaña prolongada y no un evento puntual.

México

México no aparece en la telemetría de ESET sobre SparroWocky, y eso está confirmado de forma explícita por WindowsForum y por la versión en español de WeLiveSecurity. Sin embargo, Mirage Security sí documenta un clúster con foco mexicano, CL-CRI-1131, que usa living-off-the-land, herramientas de exfiltración y una infraestructura donde se expone NextChat, un chatbot de IA usado para depurar y generar scripts.

Ese caso no debe confundirse con FamousSparrow. El material no atribuye CL-CRI-1131 a ese grupo ni al backdoor SparroWocky. Su valor está en mostrar una segunda línea de presión sobre la región, distinta de la campaña de espionaje gubernamental, pero igualmente relevante para México por el uso de scripts nativos y la exposición accidental de infraestructura ofensiva.

Brasil

Brasil aparece en el material a través del estudio de Mirage Security sobre una campaña multietapa contra bancos y otras entidades financieras. Allí los atacantes utilizaron phishing con adjuntos de currículum, descargaron y ejecutaron herramientas de tunelización y malware de acceso remoto, y operaron en un clúster separado sin atribución pública a un actor estatal específico.

Ese caso es útil como contraste. Mientras SparroWocky se orienta a gobiernos latinoamericanos, el clúster brasileño apunta al sector financiero. El cruce de ambos hechos muestra que la región recibe campañas con objetivos, vectores y niveles de madurez distintos, lo que obliga a segmentar bien los controles y no tratar toda intrusión regional como si respondiera al mismo patrón.

Estados Unidos, Puerto Rico

Puerto Rico aparece en la lista de objetivos de ESET como territorio de Estados Unidos. En el material disponible, el interés en Puerto Rico no se presenta como una campaña separada, sino como parte del mismo conjunto de intrusiones gubernamentales latinoamericanas. Esa inclusión es relevante porque amplía el impacto geográfico más allá de Sudamérica y Centroamérica.

El resto del territorio estadounidense no aparece en la telemetría publicada para SparroWocky. La presencia de Puerto Rico no cambia el carácter regional del caso, pero sí subraya que el alcance del espionaje no se limita a estados soberanos del continente. También explica por qué algunas coberturas en inglés mezclan América Latina con dependencias territoriales de Estados Unidos al describir el caso.

Países sin cobertura verificable específica

No se identificaron hechos verificables adicionales para Chile, Paraguay, Bolivia, Colombia y Uruguay en el material provisto.

Indicadores técnicos

El material provisto no incluye hashes, IPs, dominios ni nombres de archivos directamente reutilizables como IOC operativos completos. Sí aporta nombres de DLL y componentes observados en la cadena de carga, que pueden servir como indicadores parciales en entornos donde no se esperen de forma legítima.