El actor de amenaza china conocido como Espalda famosa<\/strong> se ha relacionado con un ataque cibern\u00e9tico dirigido a un grupo comercial en los Estados Unidos y un instituto de investigaci\u00f3n en M\u00e9xico para entregar su borrador de puerta trasera insignia y el pade de sombras.<\/p>\n La actividad, observada en julio de 2024, marca la primera vez que el equipo de pirater\u00eda ha desplegado Shadowpad, un malware ampliamente compartido por los actores chinos patrocinados por el estado.<\/p>\n “Famoussparrow despleg\u00f3 dos versiones previamente indocumentadas de la puerta trasera de Sparrowdoor, una de ellas modular”, ESET dicho<\/a> En un informe compartido con The Hacker News. “Ambas versiones constituyen un progreso considerable sobre las anteriores e implementan la paralelizaci\u00f3n de los comandos”.<\/p>\n Famoussparrow fue documentado por primera vez por la compa\u00f1\u00eda de seguridad cibern\u00e9tica eslovaca en septiembre de 2021 en relaci\u00f3n con una serie de ataques cibern\u00e9ticos dirigidos a hoteles, gobiernos, compa\u00f1\u00edas de ingenier\u00eda y firmas de abogados con Sparrowdoor, un implante utilizado exclusivamente por el grupo.<\/p>\n Desde entonces, ha habido informes de las superposiciones t\u00e1cticas del colectivo adversario con cl\u00fasteres rastreados como extensiones de tierra, Empera Ghostemperador y, sobre todo, Typhoon de Salt, que se ha atribuido a intrusiones dirigidas al sector de las telecomunicaciones.<\/p>\n Sin embargo, ESET se\u00f1al\u00f3 que est\u00e1 tratando a Famoussparrow como un grupo de amenazas distinto con algunos v\u00ednculos sueltos con las estr\u00edas de la Tierra derivadas de los paralelos con el crowroor y la hemigante.<\/p>\n La cadena de ataque involucra al actor de amenaza que implementa un shell web en un servidor de servicios de informaci\u00f3n de Internet (IIS), aunque todav\u00eda se desconoce el mecanismo preciso utilizado para lograr esto. Se dice que ambas v\u00edctimas estaban ejecutando versiones obsoletas de Windows Server y Microsoft Exchange Server.<\/p>\n El shell web act\u00faa como un conducto para soltar un script por lotes de un servidor remoto, que, a su vez, lanza un shell web .NET codificado Base64 integrado dentro de \u00e9l. Este shell web finalmente es responsable de implementar Sparrowdoor y Shadowpad.<\/p>\n Eset dijo que una de las versiones de Sparrowdoor se asemeja a CURNCEROOR, aunque ambas variantes presentan mejoras significativas sobre su predecesor. Esto incluye la capacidad de ejecutar simult\u00e1neamente comandos que consumen mucho tiempo, como la E\/S de archivos y el Shell Interactive, lo que permite que la puerta trasera procese las instrucciones entrantes mientras se ejecutan.<\/p>\n “Cuando la puerta trasera recibe uno de estos comandos, crea un hilo que inicia una nueva conexi\u00f3n con el servidor de C&C”, dijo el investigador de seguridad Alexandre C\u00f4t\u00e9 Cyr. “La ID de v\u00edctima \u00fanica se env\u00eda a trav\u00e9s de la nueva conexi\u00f3n junto con una ID de comando que indica el comando que condujo a esta nueva conexi\u00f3n”.<\/p>\n “Esto permite que el servidor C&C realice un seguimiento de qu\u00e9 conexiones est\u00e1n relacionadas con la misma v\u00edctima y cu\u00e1les son sus prop\u00f3sitos. Cada uno de estos subprocesos puede manejar un conjunto espec\u00edfico de submands”.<\/p>\n Sparrowdoor tiene una amplia gama de comandos que le permiten iniciar un proxy, lanzar sesiones de shell interactivas, realizar operaciones de archivos, enumerar el sistema de archivos, recopilar informaci\u00f3n del host e incluso desinstalarlo.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Nuevas-variantes-de-puerta-trasera-de-gorrion-que-se-encuentran.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n