L’acteur de menace chinois connue sous le nom FammeSparrow<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 une cyberattaque ciblant un groupe commercial aux \u00c9tats-Unis et un institut de recherche au Mexique pour livrer son sparrowoor de porte d\u00e9rob\u00e9e et Shadowpad.<\/p>\n L’activit\u00e9, observ\u00e9e en juillet 2024, marque la premi\u00e8re fois que l’\u00e9quipe de piratage a d\u00e9ploy\u00e9 Shadowpad, un logiciel malveillant largement partag\u00e9 par des acteurs chinois parrain\u00e9s par l’\u00c9tat.<\/p>\n “FamousSparrow a d\u00e9ploy\u00e9 deux versions pr\u00e9c\u00e9demment sans papiers de la porte d\u00e9rob\u00e9e Sparrowdoor, l’une d’elles modulaires”, ESET dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News. “Les deux versions constituent des progr\u00e8s consid\u00e9rables par rapport aux pr\u00e9c\u00e9dents et impl\u00e9mentent la parall\u00e9lisation des commandes.”<\/p>\n FamousSparrow a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par la Slovak Cybersecurity Company en septembre 2021 dans le cadre d’une s\u00e9rie de cyberattaques destin\u00e9es aux h\u00f4tels, aux gouvernements, aux soci\u00e9t\u00e9s d’ing\u00e9nierie et aux cabinets d’avocats avec Sparrowdoor, un implant exclusivement utilis\u00e9 par le groupe.<\/p>\n Depuis lors, il y a eu des rapports sur les chevauchements tactiques du collectif adversaire avec des grappes suivis en \u0153stries terrestres, Ghosttempeor et, plus particuli\u00e8rement, le typhon de sel, qui a \u00e9t\u00e9 attribu\u00e9 \u00e0 des intrusions visant le secteur des t\u00e9l\u00e9communications.<\/p>\n Cependant, ESET a not\u00e9 qu’il traite le c\u00e9l\u00e8bre Sparrow comme un groupe de menaces distinct avec des liens l\u00e2ches avec les \u0153stries terrestres provenant de parall\u00e8les avec la foule et des h\u00e9mifs.<\/p>\n La cha\u00eene d’attaque implique l’acteur de menace qui d\u00e9ploie un shell Web sur un serveur de services d’information sur Internet (IIS), bien que le m\u00e9canisme pr\u00e9cis utilis\u00e9 pour y parvenir soit encore inconnu. Les deux victimes auraient ex\u00e9cut\u00e9 des versions obsol\u00e8tes de Windows Server et Microsoft Exchange Server.<\/p>\n Le shell Web agit comme un conduit pour supprimer un script de lot \u00e0 partir d’un serveur distant, qui, \u00e0 son tour, lance un shell Web cod\u00e9 de base de base64 int\u00e9gr\u00e9. Ce shell Web est finalement responsable du d\u00e9ploiement de Sparrowdoor et de ShadowPad.<\/p>\n ESET a d\u00e9clar\u00e9 que l’une des versions Sparrowdoor ressemble \u00e0 Crowdoor, bien que les deux variantes pr\u00e9sentent des am\u00e9liorations significatives par rapport \u00e0 leur pr\u00e9d\u00e9cesseur. Cela inclut la possibilit\u00e9 d’ex\u00e9cuter simultan\u00e9ment des commandes longues, telles que les E \/ S de fichiers et le shell interactif, permettant ainsi \u00e0 la porte d\u00e9rob\u00e9e de traiter les instructions entrantes pendant leur ex\u00e9cution.<\/p>\n “Lorsque la porte d\u00e9rob\u00e9e re\u00e7oit l’une de ces commandes, elle cr\u00e9e un fil qui initie une nouvelle connexion au serveur C&C”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Alexandre C\u00f4t\u00e9 Cyr. “L’ID de victime unique est ensuite envoy\u00e9 sur la nouvelle connexion avec un ID de commande indiquant la commande qui a conduit \u00e0 cette nouvelle connexion.”<\/p>\n “Cela permet au serveur C&C de suivre les connexions li\u00e9es \u00e0 la m\u00eame victime et \u00e0 leurs objectifs. Chacun de ces threads peut alors g\u00e9rer un ensemble sp\u00e9cifique de sous-communs.”<\/p>\n Sparrowdoor arbore une large gamme de commandes qui lui permettent de d\u00e9marrer un proxy, de lancer des sessions de shell interactives, d’effectuer des op\u00e9rations de fichiers, d’\u00e9num\u00e9rer le syst\u00e8me de fichiers, de recueillir des informations d’h\u00f4te et m\u00eame de se d\u00e9sinstaller.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Nouvelles-variantes-de-derobee-Sparrowdoor-trouvees-dans-les-attaques-contre.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n