Hệ sinh thái malware Sparrow: Mắt xích kết nối 3 chiến dịch gián điệp mạng quy mô lớn

Các chuyên gia từ Check Point Research vừa công bố báo cáo về ba nhóm tấn công mạng riêng biệt, được liên kết chặt chẽ thông qua một hệ sinh thái malware có tên gọi Sparrow. Các chiến dịch này, bao gồm SilentDelivery, OceanGate và DarkWire, đã nhắm mục tiêu vào các nhà cung cấp viễn thông, cơ quan chính phủ, quân đội và các tổ chức nghiên cứu tại nhiều khu vực từ Mỹ Latinh, châu Á đến châu Âu trong suốt một năm qua.

Hệ sinh thái Sparrow và thực thể CopperDragon

Đứng sau khung (framework) Sparrow là một thực thể có tên mã CopperDragon. Nhóm này được đánh giá đóng vai trò như một “quản kho kỹ thuật số”, chuyên phát triển công cụ cho nhiều nhóm tin tặc có liên quan đến Trung Quốc như FamousSparrow, Earth Estries, Tropic Trooper và các nhóm UAT khác. Mỗi chiến dịch sử dụng các kỹ thuật tấn công ban đầu khác nhau, từ khai thác hạ tầng hướng internet đến các cuộc tấn công watering hole có chọn lọc cao.

Ba chiến dịch chính

• SilentDelivery: Bắt đầu từ đầu năm 2026, chiến dịch này sử dụng các trang web bị chiếm quyền điều khiển để phát tán malware thông qua các thông báo giả mạo về chứng chỉ SSL, dụ dỗ người dùng cài đặt công cụ sửa lỗi giả mạo.
• OceanGate: Tập trung vào các tổ chức tại châu Á trong giai đoạn 2025-2026, sử dụng các backdoor trên Linux để xâm nhập, sau đó thực hiện di chuyển ngang (lateral movement) sang môi trường Windows.
• DarkWire: Nhắm vào các nhà mạng viễn thông và chính phủ tại Mỹ Latinh từ giữa năm 2025, sử dụng các backdoor chuyên biệt như CopperDoor và CopperDNS.

Kỹ thuật tinh vi và khả năng lẩn tránh

Điểm đáng chú ý trong các chiến dịch này là việc sử dụng các kỹ thuật DLL sideloading và các kernel rootkit để ẩn mình. Đặc biệt, trong chiến dịch OceanGate, tin tặc đã sử dụng driver WinDivert để biến SparrowDoor thành một backdoor thụ động. Kỹ thuật này cho phép chúng chặn và thao túng các gói tin ở cấp độ kernel, giúp lưu lượng độc hại hòa trộn vào các kết nối hợp lệ trên cổng 443, khiến việc phát hiện trở nên vô cùng khó khăn.

Ngoài ra, các công cụ như CopperLsa (thu thập thông tin xác thực) và CopperLogger (keylogger) cho thấy sự chuẩn bị kỹ lưỡng của CopperDragon trong việc duy trì quyền truy cập và trích xuất dữ liệu nhạy cảm. Việc các IP điều khiển (C2) thường đặt tại cùng quốc gia với nạn nhân cũng cho thấy nỗ lực tối ưu hóa khả năng lẩn tránh của nhóm này.

Báo cáo nhấn mạnh rằng sự tương đồng về mã nguồn và hạ tầng giữa SparrowShell và malware Mélofée (từng được phát hiện năm 2023) củng cố giả thuyết rằng CopperDragon là nguồn cung cấp công cụ chính cho nhiều chiến dịch gián điệp mạng phức tạp hiện nay.

Nguồn tham khảo: The Hacker News