FamousSparrow usa SparroWocky na América Latina

Resumo executivo

A ESET atribuiu com alta confiança ao FamousSparrow uma campanha de ciberespionagem contra governos da América Latina baseada em um novo backdoor modular em C++ chamado SparroWocky. A telemetria analisada pela empresa entre meados de 2025 e 2026 aponta que cerca de 90% dos alvos observados estavam na região, com atividade na Argentina, Equador, Guatemala, Honduras, Panamá, Peru, Porto Rico e Venezuela.

A principal mudança técnica foi a substituição do SparrowDoor pelo SparroWocky. O novo implante amplia a capacidade operacional do grupo e também dificulta a detecção. Ele é distribuído por DLL sideloading, usa um arquivo .dat criptografado com RC4 que reúne configuração e payload, e é carregado de forma reflectiva na memória. Esse desenho evita gravar o backdoor em disco e complica a inspeção por ferramentas que dependem de padrões clássicos de Portable Executable.

A caixa de ferramentas do malware é ampla. As fontes coincidem em que o SparroWocky executa comandos, arquivos e shell interativa, atua como proxy TCP, exfiltra informações, tira capturas periódicas de tela, coleta dados do host e do ambiente de rede, e pode se autodestruir. Ele também executa Beacon Object Files na memória, o que permite reutilizar módulos pensados para frameworks ofensivos como Cobalt Strike, Sliver, Metasploit e Brute Ratel. Em várias descrições, ele aparece como uma família de malware separada, e não como uma simples evolução linear do SparrowDoor.

A atribuição pública veio acompanhada de um esclarecimento metodológico. Embora vários títulos de cobertura usem o nome Salt Typhoon, a ESET sustenta que não há indicadores técnicos suficientes para fundi-lo com o FamousSparrow. WindowsForum e a versão em espanhol da WeLiveSecurity reforçam esse ponto e alertam contra a equiparação automática dos dois nomes. Na prática, isso obriga a leitura cuidadosa dos relatórios: a atividade do SparroWocky foi vinculada com alta confiança ao FamousSparrow, enquanto o uso de Salt Typhoon aparece como correlato editorial em algumas coberturas, não como conclusão confirmada pela amostra técnica pública.

O contexto regional se completa com duas campanhas da Mirage Security publicadas em setembro de 2026. Uma delas mira bancos brasileiros por meio de phishing com anexos de currículos, ferramentas de tunelamento e malware de acesso remoto. A outra, identificada como CL-CRI-1131, foca o México com scripts living-off-the-land, exfiltração de dados e um chatbot de IA chamado NextChat exposto na infraestrutura dos atacantes. Não há evidência de que essas campanhas estejam conectadas ao FamousSparrow ou ao SparroWocky, mas elas mostram um ambiente em que convivem espionagem estatal, phishing em múltiplas etapas, implantação de malware modular e apoio operacional por IA.

Contexto e antecedentes

O FamousSparrow já aparecia na literatura técnica como um ator de ciberespionagem alinhado à China, mas o relatório da ESET, em setembro de 2026, trouxe mais detalhes sobre a atuação do grupo. A telemetria coletada desde meados de 2025 mostrou uma clara mudança para a América Latina, região que concentrou aproximadamente 90% dos alvos observados pela empresa. Esse dado sustenta o caráter regional da campanha e explica por que tantos relatos secundários repetem a mesma lista de países.

O ponto mais relevante não é apenas o volume relativo de alvos, mas o padrão. Os objetivos observados eram entidades governamentais, não um conjunto disperso de empresas privadas. A seleção de órgãos de Estado aponta para coleta de inteligência, acesso prolongado e vigilância de comunicações, e não para uma operação oportunista de monetização. O Dark Reading acrescenta um contexto interpretativo ao mencionar que a campanha se orienta a agências ligadas a investimentos chineses e a temas políticos envolvendo os Estados Unidos. Essa leitura é analítica e não deve ser tratada como atribuição adicional, mas ajuda a explicar o interesse estratégico pela região.

O SparroWocky substituiu o SparrowDoor como implante principal do grupo. Essa troca aparece confirmada pela ESET, pela Infosecurity Magazine, pela WeLiveSecurity, pelo The Register, pelo CyberInsider, pela Mallory.ai e por outros levantamentos secundários. A coincidência entre as fontes sugere que não se trata de uma amostra isolada, e sim de uma atualização da linha operacional do grupo. Em termos defensivos, isso importa porque cada mudança de implante altera artefatos, padrões de detecção e comportamento em memória.

A discussão pública também foi atravessada por uma confusão de nomes. Parte da cobertura usou Salt Typhoon, enquanto a ESET manteve a separação entre FamousSparrow e Salt Typhoon por falta de indicadores técnicos que comprovem uma única operação. A WindowsForum destaca esse ponto de forma explícita, e a WeLiveSecurity o reproduz em sua versão em espanhol. A consequência prática é simples: não convém misturar os nomes automaticamente em regras, relatórios ou matrizes internas de atribuição.

Em paralelo, a Mirage Security trouxe dois estudos de intrusão que não são atribuídos ao mesmo ator, mas ajudam a medir as tendências regionais. No Brasil, o caso CL-CRI-1163 descreve uma operação em várias etapas contra o setor financeiro. No México, o cluster CL-CRI-1131 combina living-off-the-land, exfiltração e uma infraestrutura onde o NextChat, um chatbot de IA usado pelos próprios atacantes para depurar e gerar scripts, fica exposto. Esse segundo caso é especialmente relevante porque mostra uma infraestrutura ofensiva híbrida, com automação e exposição acidental de ativos do atacante.

Tabela de fatos-chave

Timeline da operação

Cadeia de ataque e TTPs

O SparroWocky foi desenhado para entrar por uma cadeia de DLL sideloading e permanecer na memória. A sequência descrita pela Cloud Security Alliance e pela Mallory.ai combina um executável legítimo, uma DLL maliciosa modificada e um arquivo .dat criptografado com RC4 que contém tanto a configuração quanto o payload. O loader lê esse arquivo, decifra os dois componentes e os executa de forma reflectiva, sem deixar o backdoor gravado em disco.

Esse mecanismo tem dois efeitos práticos. O primeiro é a redução da pegada forense, porque a amostra principal vive na memória e não necessariamente em um binário recuperável do sistema de arquivos. O segundo é a flexibilidade operacional, já que o operador pode mudar configuração, módulos ou parâmetros sem refazer toda a cadeia. O HackRead acrescenta que o payload PE pode carregar com os cabeçalhos MZ e PE removidos, o que dificulta a detecção por varredura de memória.

A persistência aparece implementada de duas formas, segundo a configuração observada. O implante pode criar um serviço do Windows ou uma chave Run no registro. Essa dualidade permite adaptar o comportamento aos controles presentes no host e ao nível de sigilo desejado pelo operador. Em ambientes monitorados, detectar essas chaves, junto com caminhos anômalos de DLL, pode ser mais útil do que procurar apenas o binário do backdoor.

A parte funcional é ampla. A ESET, a Infosecurity Magazine, o The Hacker News, a Cyware e a Mallory.ai concordam que o SparroWocky pode executar comandos, abrir arquivos, interagir com uma shell, exfiltrar arquivos, listar discos, pastas, arquivos, telas e sessões de usuário, tirar capturas periódicas e funcionar como proxy TCP. Ele também incorpora reverse port forwarding e um mecanismo de autodestruição. Em termos de capacidade, não é um implante mínimo, e sim uma plataforma completa de operação remota.

A vigilância visual merece um parágrafo próprio. A BleepingComputer documentou que o malware tira capturas a cada 500 milissegundos e, depois da primeira imagem completa, transmite apenas as regiões alteradas. Essa otimização reduz o consumo de banda e baixa o ruído de rede. Para uma equipe de defesa, o resultado é uma sessão de espionagem mais silenciosa do que uma captura periódica bruta de tela.

O SparroWocky também se apoia em código e técnicas tomados de projetos já existentes. Várias fontes convergem em Mbed TLS para comunicações criptografadas, MinHook para hooking de APIs e técnicas de evasão associadas ao SilentMoonwalk e ao spoofing da stack de chamadas. CyberInsider e Offseq Radar acrescentam que o backdoor integra Beacon Object Files e carrega módulos ligados ao Cobalt Strike, Metasploit, Sliver e Brute Ratel. Isso sugere uma cadeia de ataque modular, com reutilização de tooling ofensivo e uma camada de integração madura.

TTPs observadas no SparroWocky

Impacto regional

Panorama regional

O impacto geográfico do caso é claro. A campanha do SparroWocky se concentra em governos latino-americanos e coloca a América Latina como epicentro da telemetria observada pela ESET. O material não mostra uma dispersão homogênea, mas um padrão com predominância de órgãos públicos e persistência temporal que vai, pelo menos, de agosto de 2025 a setembro de 2026.

A lista de países afetados aparece repetida em múltiplos veículos e coincide com a publicação da ESET: Argentina, Equador, Guatemala, Honduras, Panamá, Peru, Porto Rico e Venezuela. Essa repetição dá solidez ao conjunto de fatos. Ela também permite uma leitura operacional: não estamos diante de uma campanha massiva e oportunista, mas de um esforço sustentado de acesso a redes governamentais específicas.

Vale registrar um detalhe metodológico. A WindowsForum ressalta que o relatório público da ESET não identifica agências concretas nem o número de endpoints comprometidos. Assim, a evidência confirma o alvo e a implantação do malware, mas não permite afirmar compromissos generalizados em cada governo. Essa diferença entre alvo observado e alcance real do incidente importa para qualquer leitura interna.

Argentina

A Argentina aparece de forma consistente na lista de vítimas observadas pela ESET e em coberturas da Infosecurity Magazine, The Register, BleepingComputer, Dark Reading, TechRadar Pro e outras fontes secundárias. O padrão é o mesmo do restante da região, com foco em órgãos governamentais e uso do backdoor SparroWocky como ferramenta de acesso persistente.

A Cyware e a WindowsForum reforçam esse ponto ao incluir a Argentina entre os governos latino-americanos afetados pela campanha e, ao mesmo tempo, advertir que a atribuição pública continua sendo FamousSparrow, não uma fusão automática com Salt Typhoon. Para uma equipe de defesa argentina, a conclusão útil é dupla: a presença do implante é plausível e a atribuição precisa ser tratada com cuidado.

Peru

O Peru figura repetidamente no material como um dos países observados pela ESET. The Manila Times, The Record, BleepingComputer, Infosecurity Magazine, TechRadar Pro, CyberInsider, WBOC e Offseq Radar o incluem entre os alvos governamentais do SparroWocky. Isso indica que a campanha não foi marginal nem isolada no país, mas parte da mesma série regional de intrusões.

A repetição do Peru em veículos técnicos e generalistas também sugere continuidade temporal. O The Record situa o acompanhamento desde pelo menos agosto de 2025, enquanto o TechRadar Pro fala em atividade entre meados de 2025 e 2026. Em termos de leitura defensiva, isso obriga a tratar o caso como uma campanha prolongada, e não como um evento pontual.

México

O México não aparece na telemetria da ESET sobre o SparroWocky, e isso é confirmado explicitamente pela WindowsForum e pela versão em espanhol da WeLiveSecurity. Ainda assim, a Mirage Security documenta um cluster com foco mexicano, o CL-CRI-1131, que usa living-off-the-land, ferramentas de exfiltração e uma infraestrutura onde o NextChat, um chatbot de IA usado pelos próprios atacantes para depurar e gerar scripts, fica exposto.

Esse caso não deve ser confundido com o FamousSparrow. O material não atribui o CL-CRI-1131 a esse grupo nem ao backdoor SparroWocky. O valor dele está em mostrar uma segunda linha de pressão sobre a região, distinta da campanha de espionagem governamental, mas igualmente relevante para o México pelo uso de scripts nativos e pela exposição acidental de infraestrutura ofensiva.

Brasil

O Brasil aparece no material por meio do estudo da Mirage Security sobre uma campanha em múltiplas etapas contra bancos e outras entidades financeiras. Nesse caso, os atacantes usaram phishing com anexos de currículos, baixaram e executaram ferramentas de tunelamento e malware de acesso remoto, e operaram em um cluster separado, sem atribuição pública a um ator estatal específico.

Esse caso funciona como contraste. Enquanto o SparroWocky se orienta a governos latino-americanos, o cluster brasileiro mira o setor financeiro. A coexistência dos dois fatos mostra que a região recebe campanhas com objetivos, vetores e níveis de maturidade distintos, o que exige segmentar bem os controles e não tratar toda intrusão regional como se respondesse ao mesmo padrão.

Estados Unidos, Porto Rico

Porto Rico aparece na lista de alvos da ESET como território dos Estados Unidos. No material disponível, o interesse em Porto Rico não é apresentado como uma campanha separada, mas como parte do mesmo conjunto de intrusões governamentais latino-americanas. Essa inclusão é relevante porque amplia o impacto geográfico para além da América do Sul e da América Central.

O restante do território dos Estados Unidos não aparece na telemetria publicada para o SparroWocky. A presença de Porto Rico não muda o caráter regional do caso, mas reforça que o alcance da espionagem não se limita a estados soberanos do continente. Isso também explica por que algumas coberturas em inglês misturam América Latina e dependências territoriais dos Estados Unidos ao descrever o caso.

Países sem cobertura verificável específica

Não foram identificados fatos verificáveis adicionais para Chile, Paraguai, Bolívia, Colômbia e Uruguai no material fornecido.

Indicadores técnicos

O material fornecido não traz hashes, IPs, domínios nem nomes de arquivos diretamente reutilizáveis como IOC operacionais completos. Ele, porém, apresenta nomes de DLLs e componentes observados na cadeia de carga, que podem servir como indicadores parciais em ambientes onde eles não sejam esperados de forma legítima.