SparroWocky: América Latina bajo FamousSparrow

Cadena de ataque y TTPs

La cadena de ataque reconstruible a partir del material no incluye un exploit público paso a paso ni una lista de IOCs, pero sí deja ver una arquitectura operativa clara. El vector inicial más citado es el uso de servidores Microsoft Exchange vulnerables. Desde ahí, el actor despliega SparroWocky, un backdoor modular en C++ pensado para sostener acceso persistente, control remoto y espionaje discreto.

La modularidad importa porque permite empaquetar funciones sin inflar de forma innecesaria el núcleo del implante. ESET y los medios técnicos describen una pieza capaz de ejecutar comandos arbitrarios, lanzar archivos, operar como proxy TCP y recolectar información del host y de las interfaces de red. También puede exfiltrar archivos, tomar capturas de pantalla periódicas, realizar operaciones sobre archivos y borrar su propia presencia del sistema comprometido.

BleepingComputer agrega que el código incorpora componentes de proyectos de código abierto. Eso no solo puede ampliar capacidades, también introduce ruido para el análisis y para la detección basada en firmas simples. SocPrime suma dos rasgos que refuerzan el sigilo, stack spoofing y carga reflectiva en memoria, ambos consistentes con un diseño que busca complicar la trazabilidad del proceso, el examen de memoria y la telemetría tradicional.

La sustitución de SparrowDoor por SparroWocky sugiere que FamousSparrow optó por un implante más flexible para sostener un objetivo regional de largo aliento. No hay elementos en el material que permitan afirmar un único flujo de infección universal, pero sí una lógica repetida: acceso inicial, despliegue del backdoor, reconocimiento del entorno, recopilación de información sensible, transferencia de archivos y limpieza selectiva.

Impacto regional

La operación muestra una concentración anómala en América Latina y, dentro de esa región, un sesgo claro hacia entidades gubernamentales. ESET indicó que cerca del 90% de los objetivos observados en su telemetría entre mediados de 2025 y 2026 se ubicaron en la región. Algunas coberturas, como Cyware, añadieron que el foco se extendió también a telecomunicaciones en Argentina, Ecuador y Venezuela.

La lectura más sólida del material es que la campaña no fue episódica. Se sostuvo durante meses, cambió de implante y mantuvo el mismo núcleo de interés: acceso a redes estatales y extracción de información sensible. Esa persistencia explica por qué tantas coberturas distintas, incluso con denominaciones dispares del actor, terminan describiendo la misma superficie atacada.

Panorama regional

ESET reportó actividad contra entidades gubernamentales en Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela, y sostuvo que el backdoor SparroWocky se desplegó desde al menos agosto de 2025. ZeroHour consolidó la misma lista de países en su cronología, mientras que Infosecurity Magazine, BleepingComputer, The Hacker News y GBHackers repitieron el conjunto de objetivos y la permanencia de la campaña.

La relevancia sectorial está en el sector público, aunque Cyware añadió telecomunicaciones como segundo frente. La evidencia no permite extender el alcance a otros sectores con la misma certeza. El material tampoco aporta cifras de víctimas por país, por lo que conviene tratar la distribución territorial como una concentración observada y no como un conteo exhaustivo.

Argentina

Argentina figura entre los países donde ESET observó SparroWocky en ataques contra organizaciones gubernamentales. El país aparece de forma reiterada en las coberturas de Infosecurity Magazine, BleepingComputer, The Hacker News, GBHackers, CyberInsider, ZeroHour y The Register, siempre dentro de la misma campaña regional atribuida a FamousSparrow.

Perú

Perú aparece de forma explícita en el informe de ESET y en prácticamente todas las coberturas técnicas derivadas. El material lo ubica como uno de los países afectados por el despliegue de SparroWocky contra entidades gubernamentales desde agosto de 2025. The Record agrega que el seguimiento de la campaña por parte de Alexandre Côté Cyr alcanzó departamentos gubernamentales en Perú, junto con otros países de la región.

Ecuador

Ecuador forma parte del conjunto de países donde ESET observó el backdoor. Cyware también lo menciona en su boletín del 18 de septiembre de 2026 al describir el desplazamiento del foco hacia América Latina, junto con Argentina y Venezuela. No hay detalles adicionales verificables sobre organismos ecuatorianos específicos en el material consolidado.

Guatemala

Guatemala aparece en la lista de entidades gubernamentales afectadas por SparroWocky. La coincidencia entre ESET, BleepingComputer, Infosecurity Magazine, The Hacker News, ZeroHour y The Record refuerza que se trata de uno de los objetivos confirmados dentro de la campaña regional.

Honduras

Honduras también figura entre los países donde el backdoor fue observado contra organismos públicos. La mención es consistente en las principales coberturas derivadas del informe de ESET y no se acompaña de un sector adicional verificable más allá del foco estatal.

Panamá

Panamá aparece repetidamente en la lista de países atacados. El material lo incluye tanto en la nómina de ESET como en las síntesis de medios especializados, siempre bajo la misma lógica de espionaje contra organismos gubernamentales.

Puerto Rico

Puerto Rico figura como objetivo en el material consolidado y es tratado por ESET y los medios asociados como parte del teatro latinoamericano de la campaña. The Record y ZeroHour lo incluyen en sus listados, junto con Argentina, Guatemala, Honduras, Panamá, Perú y Venezuela.

Venezuela

Venezuela aparece en la telemetría citada por ESET y en varias coberturas posteriores. Cyware la menciona además en el contexto del desplazamiento del foco hacia América Latina, junto a Argentina y Ecuador, aunque esa lectura estratégica aparece como interpretación del medio y no como hecho primario del informe técnico.

Chile

No se verificaron hechos específicos sobre Chile en el material provisto.

Paraguay

No se verificaron hechos específicos sobre Paraguay en el material provisto.

Bolivia

No se verificaron hechos específicos sobre Bolivia en el material provisto.

Colombia

No se verificaron hechos específicos sobre Colombia en el material provisto.

Brasil

No se verificaron hechos específicos sobre Brasil en el material provisto.

México

No se verificaron hechos específicos sobre México en el material provisto.

Estados Unidos

No se verificaron hechos específicos sobre Estados Unidos como víctima directa en el material provisto. El país aparece solo como referencia contextual en algunas coberturas sobre inversiones chinas y en la lectura estratégica de Cyware y DarkReading, pero no como objetivo confirmado de la campaña.

Los países sin cobertura verificable adicional en el material son Chile, Paraguay, Bolivia, Colombia, Brasil y México.

Indicadores técnicos

No se publicaron IOCs concretos en el material consolidado. No hay hashes, dominios, IPs, rutas de archivo ni nombres de mutex verificables en las fuentes provistas. La lectura técnica, por tanto, debe apoyarse en TTPs y en la identificación de comportamiento, no en listas de indicadores puntuales.

Análisis para equipos de seguridad

La prioridad inmediata para defensores en organismos públicos latinoamericanos es revisar exposición y abuso de Microsoft Exchange, porque ese es el vector inicial mencionado de forma consistente en el material. Cualquier instancia expuesta o mal parchada merece revisión prioritaria. El hecho de que la campaña haya permanecido activa desde agosto de 2025 y siga apareciendo en septiembre de 2026 sugiere que no se trata de un incidente cerrado, sino de una capacidad operativa que el actor sostuvo en el tiempo.

En detección, el foco debería estar en patrones compatibles con backdoors modulares y no solo en firmas estáticas. SparroWocky puede ejecutar comandos arbitrarios, lanzar archivos, operar como proxy TCP, recolectar datos del host, tomar screenshots, exfiltrar archivos y autoeliminarse. Esa combinación pide telemetría de proceso, conexiones salientes anómalas, actividad de captura de pantalla no esperada, y eventos de acceso o lectura masiva de archivos sensibles.

La mención a componentes de código abierto y a técnicas como stack spoofing y carga reflectiva en memoria obliga a ampliar la mirada. Un EDR que dependa solo de detección por nombre de proceso o de hashes exactos va a quedar corto frente a una familia modular que se mezcla con librerías legítimas y técnicas de inyección o carga en memoria. Conviene reforzar hunting sobre árboles de procesos, conexiones laterales, abuso de servicios y movimientos de archivos que coincidan con fases de exfiltración.

Desde el punto de vista de priorización, los equipos gubernamentales de Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela deberían tratar esta campaña como un caso de espionaje persistente, no como un brote puntual. Las coberturas coinciden en que el objetivo principal es el sector público, con un segundo foco posible en telecomunicaciones. Eso justifica revisar control de privilegios, segmentación, exposición de correo, monitoreo de entradas y salidas de red, y alertas por captura de pantalla o empaquetado inusual de documentos.

También conviene ajustar detección para evitar confusiones de nomenclatura. WindowsForum advierte que algunas publicaciones etiquetaron erróneamente la campaña como Salt Typhoon. Si las reglas de detección o los playbooks internos usan la denominación equivocada, la respuesta puede quedar incompleta. La referencia operativa más consistente en el material es FamousSparrow, con SparroWocky como backdoor principal.

Preguntas frecuentes

¿La campaña atribuida por ESET a FamousSparrow sigue activa y en qué países se observó?

Sí. El material consolidado indica actividad desde al menos agosto de 2025 y continuidad hasta septiembre de 2026, con observaciones en Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. Esa cronología cruza las secciones de Timeline de la operación e Impacto regional.

¿Qué cambió técnicamente entre SparrowDoor y SparroWocky?

SparroWocky pasó a ser el backdoor principal del grupo y no una simple variante menor. A diferencia de SparrowDoor, se describe como un malware modular en C++ con ejecución de comandos, proxy TCP, exfiltración, captura de pantalla y autoeliminación. Esto cruza la Cadena de ataque y TTPs con el Contexto y antecedentes.

¿Qué sectores estuvieron más expuestos según el material?

El sector público es el más claramente documentado. ESET y las coberturas derivadas hablan de ataques contra agencias y organizaciones gubernamentales, y Cyware agrega telecomunicaciones en algunos países. La respuesta cruza Impacto regional, Panorama regional y la Tabla de hechos clave.

¿Qué país aparece con mayor claridad en la cobertura además de Argentina?

Perú aparece de forma explícita y repetida en ESET, Infosecurity Magazine, BleepingComputer, The Hacker News, GBHackers, ZeroHour y The Record. La mención cruza Impacto regional, la Tabla de hechos clave y el Timeline de la operación, donde figura como objetivo confirmado dentro del conjunto regional.

¿Qué tipo de detección conviene priorizar si no hay IOCs publicados?

Conviene priorizar detección por comportamiento: abuso de Exchange, ejecuciones remotas inusuales, proxy TCP, capturas de pantalla no esperadas, exfiltración de archivos y técnicas de evasión como carga reflectiva en memoria. Esto cruza Indicadores técnicos con Análisis para equipos de seguridad y Cadena de ataque y TTPs.

Limitaciones del material

El material provisto no incluye IOCs verificables, hashes, dominios, IPs, nombres de archivo ni firmas concretas de EDR. Tampoco permite reconstruir una cadena de infección completa con exploit público confirmado, ni atribuir con precisión exfiltración exitosa a una víctima específica. Algunas notas secundarias ofrecen interpretación estratégica sobre motivaciones geopolíticas, pero esas lecturas aparecen como atribuidas por cada medio y no como hechos primarios del informe de ESET.

Fuentes y cobertura sintética para seguimiento