FamousSparrow, vinculado a China, espía a gobiernos de América Latina con la puerta trasera SparroWocky, según ESET

Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. En entidades gubernamentales de todos esos lugares apareció SparroWocky, una nueva puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales., según la lista que dio Alexandre Côté Cyr, investigador de ESET, en el informe que la empresa de seguridad publicó este 17 de septiembre. El dato que convierte la lista en noticia viene después: entre mediados de 2025 y 2026, el 90 % de los objetivos de FamousSparrow registrados en la telemetría de ESET estuvo en América Latina.

FamousSparrow es un grupo APTGrupo de atacantes con muchos recursos, a menudo ligado a un Estado, que realiza campañas de espionaje prolongadas y dirigidas contra organizaciones específicas con herramientas propias., por amenaza persistente avanzada, vinculado a China y activo al menos desde 2019. Côté Cyr calificó esa concentración como un caso "poco habitual" entre los grupos vinculados a China que sigue ESET, porque esos grupos suelen repartir sus operaciones entre distintas regiones del mundo durante períodos así de largos. Este no. Este eligió una región y se quedó en ella.

No es un recién llegado. ESET lo documentó por primera vez en septiembre de 2021, cuando explotaba ProxyLogon, una vulnerabilidad de los servidores de correo Microsoft Exchange, para entrar en hoteles de distintas partes del mundo. Con los años sumó gobiernos, organizaciones internacionales, asociaciones comerciales, empresas de ingeniería y estudios jurídicos. Según un resumen de la Cloud Security Alliance, el informe anterior de ESET, de marzo de 2025, ya mencionaba entre sus víctimas a un instituto de investigación de México y a una institución gubernamental de Honduras.

Un mes para cambiar de herramienta

La secuencia que reconstruyó ESET es corta. En julio de 2025, FamousSparrow concentró sus operaciones casi exclusivamente en América Latina. Un mes después, en agosto, empezó a usar SparroWocky, que en poco tiempo reemplazó a SparrowDoor, la herramienta que el grupo usaba desde hacía años. ESET aclara que no se trata de una versión nueva de la anterior, sino de una familia de software malicioso completamente distinta, escrita en C++ y armada por módulos.

El nombre tiene un origen literario: las primeras muestras que recogieron los investigadores contenían la primera estrofa de Jabberwocky, el poema sin sentido de Lewis Carroll. Lo que hace el programa en los equipos infectados es mucho menos poético. Según ESET, SparroWocky toma capturas de pantalla de forma periódica, reúne el nombre del usuario, el dominio y la versión de Windows, y puede servir de intermediario para otras conexiones. En una computadora de un ministerio o de una oficina pública, eso equivale a ver lo que ve el funcionario.

ESET atribuye con alta confianza la campaña y SparroWocky a FamousSparrow. La razón principal es que, en algunos de los primeros ataques, SparroWocky llegó a los equipos a través de SparrowDoor, una herramienta que solo usa este grupo. Además, el perfil de las víctimas coincide con sus objetivos de siempre, y ESET registró intentos de instalar SparroWocky en muchas de las mismas organizaciones que antes habían sido atacadas con SparrowDoor.

Cómo entró el grupo a las redes es un punto menos claro. Infosecurity Magazine afirma que FamousSparrow obtuvo acceso explotando servidores Exchange expuestos a internet, pero ese detalle no aparece en el comunicado de ESET ni en las partes del informe técnico consultadas, por lo que no está confirmado por la fuente primaria.

Los puertos del canal de Panamá como pista

Para ESET, el foco regional no es casual. La empresa cree que probablemente refleja la respuesta de China a las iniciativas recientes de Estados Unidos en la región. Según el comunicado de ESET, el segundo mandato de Donald Trump trajo una reafirmación agresiva de los intereses estadounidenses en América Latina, algo que pone en riesgo inversiones que China construyó durante la última década en energía, minería y telecomunicaciones. La hipótesis de ESET es que el espionaje busca ayudar a China a anticipar cómo van a reaccionar los gobiernos locales ante esa presión.

El ejemplo que ofrece está en Panamá. Según ESET, una de las entidades panameñas atacadas participa directamente en la disputa comercial por dos puertos importantes del área del canal, que hasta hace poco operaba una empresa con sede en China. El gobierno panameño cuestionó legalmente esa concesión a comienzos de 2025, y ESET considera muy probable que la operación buscara información anticipada sobre las intenciones de las autoridades. ESET no identificó a la entidad, y el caso no está confirmado por otra fuente: Infosecurity Magazine lo repite atribuyéndolo a la empresa. La propia ESET reconoce que no sabe si el foco en la región responde a un mandato formal o a una prioridad temporal impulsada por la coyuntura.

También quedan abiertas las relaciones con otros grupos. Trend Micro vinculó en 2023 a FamousSparrow con Earth Estries por coincidencias en sus técnicas, aunque ESET dice que la naturaleza exacta de ese vínculo no se conoce por completo. Con Salt Typhoon, otro grupo asociado públicamente a FamousSparrow, ESET mantiene el rastreo por separado porque no encontró indicadores técnicos que confirmen la relación.

Las pistas que ESET dejó para los equipos de seguridad

Junto con el informe, ESET publicó en GitHub los indicadores de compromisoRastros técnicos, como direcciones IP, nombres de archivo o huellas digitales de archivos, que permiten detectar si un sistema fue atacado por una amenaza conocida. de la campaña: las huellas digitales de tres cargadores y dos muestras de SparroWocky, 18 direcciones de servidores de comando y control usados por el programa y la lista de técnicas de ataque según la matriz MITRE ATT&CK. Agregó además un script, extract_sparrowocky.py, para descifrar los archivos que contienen el programa malicioso.

La Cloud Security Alliance recomienda a los organismos públicos de los países afectados buscar esas direcciones en el tráfico de sus redes, revisar servicios de Windows y claves de inicio automático desconocidas en los servidores expuestos a internet, en especial los de Exchange e IIS, y mantener esos servidores actualizados. Para los equipos de seguridad de los gobiernos de la región, el primer paso es cruzar sus registros con el repositorio de ESET, porque un grupo que eligió concentrarse en América Latina difícilmente se vaya por haber sido descubierto.

Cómo se carga y se esconde SparroWocky

Según el análisis técnico de ESET, SparroWocky se instala con un esquema de tres piezas: un ejecutable legítimo, una biblioteca DLL maliciosa que se hace pasar por la que ese ejecutable necesita y un archivo .dat con el programa cifrado con RC4. El cargador vive en la DLL, se ejecuta por la técnica conocida como DLL side-loading y carga SparroWocky directamente en memoria, sin escribirlo en el disco. La persistencia se logra con un servicio dedicado, en la muestra analizada llamado ProcAuditManager, o con una entrada en una clave Run del Registro de Windows. Para evadir la detección, el programa incorpora código abierto como Mbed TLS y MinHook, falsifica pilas de llamadas con una variante de la técnica SilentMoonwalk y puede ejecutar Beacon Object Files, un formato que usan muchas herramientas de pruebas de penetración. Los datos robados viajan cifrados con RC4 dentro de una conexión TLS. El servidor de comando y control principal de la muestra estudiada es 216.238.110[.]120, en el puerto 443, visto por primera vez el 11 de diciembre de 2025. Esa muestra se compiló el 17 de noviembre de 2025, corresponde a la versión 1.8 y su huella SHA-1 es 44F0A22B143B79FA760BF31E14C8FFF714C8A2A1.