中国のFamousSparrow、新型バックドアでラテンアメリカ政府機関をスパイ

中国のFamousSparrow、新型バックドアでラテンアメリカ政府機関をスパイ

BleepingComputer – September 17, 2026

中国に関連する脅威アクター「FamousSparrow」が新型バックドア「SparroWocky」を使ってラテンアメリカ地域の政府機関の偵察を行っていることがESETの調査で明らかになった。

関連記事：ラテンアメリカの政府機関狙ったサイバー攻撃が増加

FamousSparrowは遅くとも2019年から活動を続けており、以前にはSparrowDoorと呼ばれるバックドアを使用していたことがESETにより確認されている。今回観測されたSwarroWockyはその後継モデルとなるもので、遅くとも2025年8月ごろからラテンアメリカ地域に展開されていると見られる。このような活動は、近年の米国の国策に対するラテンアメリカ各国政府機関の反応を収集する目的で行われているとESETは推測した。

分析によると、SparroWockyはオープンソースプロジェクトコードも使用したステルス性能の高いモジュール式C++バックドアである模様。SparroWockyの主な機能は以下の通り。

• コマンドや.exeファイルの実行
• メモリ上でのビーコンオブジェクトファイルの読み込みと実行
• システムやネットワーク、ドメイン、Windowsバージョン等の環境情報の収集
• ドライブ、ディレクトリ、ファイル、アクティブなユーザーセッションの列挙
• ファイルの送受信・名称変更・移動・削除・複製
• 500ミリ秒ごとの画面の差分のキャプチャおよび送信
• 別のログインユーザーのセッションを使ったプロセス作成
• TCPプロキシによる接続の転送
• 永続性解除と自己削除

SparroWockyのローダースキームは正規の実行ファイル、その実行ファイルが必要とするDLLを細工した有害DLL、暗号化されたペイロードを含むファイルで構成されている。DLL内に存在するローダーはDLLサイドローディングによって実行され、.exeファイルと同名の.datファイルからRC4エンコードされたペイロードを抽出して復号を行う。その後、検出を回避しながらペイロードをメモリに直接マッピング。ほかにも複数の回避メカニズムが搭載されており、コールスタックや脅威発生源の改ざん、動的API解決、メモリ内の有害コードやDLLを正規のWindowsコンポーネントに偽装するといった機能が確認された。

また、永続性はWindowsサービス（ProcAuditManager）の使用や、HKLM（HKEY_LOCAL_MACHINE）あるいはHKCU（HKEY_CURRENT_USER）の下にWindowsレジストリキー（SnapCart）を追加することで確立されるとのこと。ESETは少なくとも18個のC2アドレスが、ポート443および8080、あるいはHTTP／SOCKS5プロキシを介してマルウェアと直接通信していることを発見した。

ESETのGitHubページにはSparroWockyに関するIoCのリストも掲載されている。