Trzy kampanie cyberszpiegowskie powiązane z ekosystemem malware Sparrow

Wprowadzenie do problemu / definicja

Badacze bezpieczeństwa powiązali trzy odrębne kampanie cyberszpiegowskie z jednym ekosystemem złośliwego oprogramowania określanym jako Sparrow. Operacje te były wymierzone w operatorów telekomunikacyjnych, instytucje rządowe, podmioty wojskowe, ośrodki badawcze oraz elementy infrastruktury krytycznej w Ameryce Łacińskiej, Azji i Europie. Wspólnym mianownikiem okazały się podobieństwa w infrastrukturze, kodzie oraz sposobach utrzymywania dostępu po kompromitacji.

W skrócie

Najważniejszy wniosek z analizy jest taki, że trzy pozornie niezależne klastry aktywności — SilentDelivery, OceanGate i DarkWire — korzystają z powiązanego zaplecza narzędziowego. Choć kampanie różnią się metodami początkowego dostępu i zestawem implantów, łączy je rodzina backdoorów Sparrow oraz narzędzia rozwijane dla operacji przypisywanych chińskiemu cyberszpiegostwu.

SilentDelivery wykorzystuje selektywne ataki watering hole i fałszywe narzędzia naprawcze.
OceanGate obejmuje środowiska Linux i Windows oraz rozbudowane mechanizmy pivotingu.
DarkWire koncentruje się na telekomach i administracji publicznej, stosując m.in. tunelowanie DNS.
Wspólny ekosystem sugeruje model dostawcy malware obsługującego wiele równoległych operacji.

Kontekst / historia

Analizowane działania były prowadzone co najmniej od 2025 roku, a ich aktywność wyraźnie nasiliła się w 2026 roku. Początkowo klastry SilentDelivery, OceanGate i DarkWire traktowano jako osobne kampanie, ponieważ różniły się łańcuchami infekcji, wariantami tylnych furtek oraz sposobem prowadzenia działań po uzyskaniu dostępu do środowiska ofiary.

Dopiero szersza korelacja infrastruktury, komponentów i kodu malware wskazała, że wszystkie trzy aktywności funkcjonują w tym samym ekosystemie. W centrum tego modelu znajduje się podmiot określany jako CopperDragon, pełniący rolę zaplecza developerskiego i logistycznego. Taki układ przypomina schemat „digital quartermaster”, czyli dostawcy narzędzi, implantów i infrastruktury dla wielu zespołów operacyjnych, co znacząco utrudnia klasyczną atrybucję zagrożeń.

Analiza techniczna

SilentDelivery opiera się na selektywnych atakach watering hole. Napastnicy kompromitowali legalne strony odwiedzane przez wybrane grupy ofiar, a następnie osadzali na nich mocno zaciemniony kod JavaScript. Skrypt analizował środowisko użytkownika, w tym system operacyjny, i komunikował się z serwerem C2 w celu profilowania ofiary na podstawie adresu IP oraz geolokalizacji. Po pozytywnej kwalifikacji prezentowany był fałszywy komunikat o problemie z certyfikatem SSL w przeglądarce Chrome oraz instrukcja instalacji rzekomego narzędzia „Certificate Fix”.

To narzędzie było w rzeczywistości nośnikiem backdoora SquadC lub wariantu SparrowDoor. SquadC, napisany w C/C++, zapewniał napastnikom przyczółek w systemie Windows i utrzymywał trwałość poprzez klucz Run w rejestrze, podszywając się pod legalny komponent aktualizacji. W części przypadków złośliwe oprogramowanie dostarczano także przez phishing z użyciem plików LNK udających dokumenty PDF, a uruchomienie ładunku odbywało się z wykorzystaniem legalnego pliku binarnego i techniki DLL sideloading.

OceanGate obejmuje zarówno środowiska Linux, jak i Windows. W warstwie linuksowej wykorzystywano dwa nowe backdoory: AnnobinDoor oraz SparrowShell. AnnobinDoor, napisany w Go, oferował zdalny dostęp, interaktywną powłokę, zarządzanie plikami, tunelowanie SSH, przekierowanie portów i funkcje proxy SOCKS. Dzięki temu zainfekowany host mógł służyć jako punkt pivotingu wewnątrz sieci. SparrowShell pełnił rolę modularnego implantu i wykazywał podobieństwa do windowsowego SparrowDoor.

Po umocnieniu pozycji w systemach Linux operatorzy przechodzili do środowisk Windows, wykorzystując skradzione poświadczenia i próby logowania przez RDP. Na tym etapie wdrażano dodatkowe narzędzia post-eksploatacyjne:

CopperAdu do przygotowania hosta pod zdalny dostęp administracyjny,
CopperList do rekonesansu systemu i inwentaryzacji plików,
CopperLogger do przechwytywania klawiatury i schowka,
CopperLsa do pozyskiwania haseł, hashy i tokenów uwierzytelniających z mechanizmów NTLM i Kerberos.

Szczególnie istotny jest rozwój zdolności kernel-level w SparrowDoor i SparrowShell. Badacze zaobserwowali użycie sterowników oraz komponentów rootkitowych do ukrywania procesów, a także przechwytywania i modyfikowania ruchu sieciowego. W praktyce implant mógł nasłuchiwać na wysokim porcie wewnętrznym, a jednocześnie odbierać połączenia przez zewnętrzny port używany przez legalną usługę, na przykład 443. Mechanizm przepisywał port docelowy dla ruchu pochodzącego z określonego adresu IP, a następnie odpowiednio modyfikował odpowiedzi, co pozwalało ukrywać komunikację C2 w pozornie zwykłym ruchu aplikacyjnym.

DarkWire koncentruje się głównie na Ameryce Łacińskiej oraz sektorze telekomunikacyjnym i administracji publicznej. W tej kampanii pojawiły się nowe tylne furtki CopperDoor i CopperDNS. Ten drugi komponent wykorzystuje tunelowanie DNS, w tym zapytania typu MX, do komunikacji z infrastrukturą sterującą. Taki model może utrudniać wykrywanie tam, gdzie ruch DNS nie jest dokładnie analizowany. Łańcuch wykonania często opiera się na DLL sideloading oraz reflective loading, a do dostarczania kolejnych modułów służy CopperLoader. Wśród dodatkowych komponentów odnotowano również CopperProxy, PyProxy oraz CopperLsass przeznaczony do zrzutu procesu LSASS i kradzieży poświadczeń.

Na uwagę zasługuje również wysoki poziom bezpieczeństwa operacyjnego infrastruktury wykorzystywanej w DarkWire. Część adresów IP była zlokalizowana w tych samych krajach co zaatakowane organizacje, co mogło pomagać w kamuflażu złośliwego ruchu i obniżać szanse wykrycia przez systemy bazujące na anomaliach geograficznych.

Konsekwencje / ryzyko

Z perspektywy obrony przedsiębiorstw i instytucji publicznych opisana aktywność wskazuje na bardzo wysoki poziom dojrzałości przeciwnika. Ryzyko nie ogranicza się do pojedynczej infekcji stacji roboczej. Atakujący dysponują pełnym zestawem narzędzi wspierających cały cykl operacji: od selektywnego dostępu początkowego, przez trwałość i eskalację uprawnień, po pivoting sieciowy, kradzież poświadczeń i ukrywanie ruchu C2.

Najpoważniejsze konsekwencje dotyczą organizacji z sektorów strategicznych. Telekomy, administracja, wojsko, badania i infrastruktura krytyczna pozostają atrakcyjnymi celami ze względu na wartość danych, możliwość obserwacji komunikacji oraz potencjał długotrwałego utrzymania się w sieci ofiary. Użycie tunelowania DNS, komponentów działających na poziomie jądra i technik podszywania się pod legalne procesy znacząco zwiększa trudność detekcji oraz reagowania.

Rekomendacje

Organizacje powinny wzmocnić monitoring legalnych serwisów internetowych i wykrywanie symptomów ataków watering hole, zwłaszcza gdy użytkownicy regularnie odwiedzają portale branżowe, rządowe lub partnerskie. Należy również wdrożyć mechanizmy identyfikujące nietypowe komunikaty nakłaniające do instalowania narzędzi naprawczych, certyfikatów lub aktualizacji poza standardowym procesem zarządzania oprogramowaniem.

W środowiskach Windows i Linux kluczowe jest monitorowanie prób DLL sideloading, tworzenia nietypowych kluczy Run, uruchamiania plików LNK, użycia narzędzi systemowych do wykonywania skryptów oraz anomalii w sesjach RDP. Warto rozszerzyć telemetrię o monitorowanie dostępu do LSASS, ładowania nietypowych sterowników, manipulacji pakietami i oznak działania rootkitów.

Wprowadzić segmentację sieci i ograniczyć uprawnienia administracyjne.
Wymusić MFA dla dostępu zdalnego i kont uprzywilejowanych.
Monitorować ruch DNS pod kątem tunelowania i nietypowych zapytań MX.
Prowadzić threat hunting obejmujący korelację aktywności między systemami Linux i Windows.
Aktualizować reguły detekcyjne o wskaźniki kompromitacji i techniki opisane przez badaczy.

Podsumowanie

Powiązanie kampanii SilentDelivery, OceanGate i DarkWire z ekosystemem Sparrow pokazuje, że współczesne operacje cyberszpiegowskie coraz częściej opierają się na współdzielonym zapleczu narzędziowym. Dla obrońców oznacza to konieczność analizowania nie tylko pojedynczych próbek malware, lecz także wspólnych zależności infrastrukturalnych, technik unikania detekcji oraz ścieżek przemieszczania się między platformami Linux i Windows. Opisane kampanie potwierdzają również, że sektor telekomunikacyjny, administracja i infrastruktura krytyczna pozostają priorytetowymi celami zaawansowanych grup APT.

Źródła

The Hacker News – Three China-Nexus Espionage Campaigns Linked Through Sparrow Malware Ecosystem – https://thehackernews.com/2026/11/three-china-nexus-espionage-campaigns.html
Check Point Research – raport techniczny dotyczący klastrów SilentDelivery, OceanGate i DarkWire – https://research.checkpoint.com/
Positive Technologies – analiza kampanii watering hole związanej z dystrybucją SquadC – https://medium.com/
Microsoft – dokumentacja procesu LSASS i zagadnień związanych z ochroną poświadczeń – https://www.microsoft.com/
ExaTrack – analiza malware Mélofée i powiązań z rootkitem Reptile – https://exatrack.com/