Três agrupamentos distintos de atividade maliciosa, com infraestrutura compartilhada e semelhanças em códigos de malware, foram observados no último ano atacando operadoras de telecomunicações, órgãos governamentais, entidades militares, instituições de pesquisa e infraestrutura crítica na América Latina, Ásia e Europa.
A Check Point Research acompanha os grupos sob os nomes SilentDelivery, OceanGate e DarkWire. Inicialmente, acreditava-se que se tratava de conjuntos independentes de ataques, cada um com suas próprias backdoors e ferramentas de pós-exploração. No entanto, todos foram ligados a um ecossistema de malware chamado Sparrow.
O responsável pelo framework Sparrow recebeu o codinome CopperDragon e é avaliado como um fornecedor de ferramentas para atores de ameaça ligados à China, incluindo FamousSparrow, Earth Estries, Tropic Trooper, UAT-9244 e UAT-8302.
“Cada agrupamento empregou um conjunto diferente de ferramentas e diferentes técnicas de acesso inicial, incluindo o comprometimento de infraestrutura exposta à internet e ataques de watering hole (ataques de “poço de água”, em que sites legítimos frequentados pelo alvo são comprometidos) altamente seletivos”, afirmou a Check Point em um relatório técnico publicado hoje. “Os sites comprometidos usados nos ataques de watering hole pertenciam aos setores governamental, de transporte marítimo, de TI e de pesquisa.”
Os ataques conduzidos pelo FamousSparrow são conhecidos pelo uso de backdoors como o SparrowDoor (e suas variantes Crowdoor e TernDoor), o SparroWocky e o HemiGate. Também se avalia que o grupo tenha alguma sobreposição com o Salt Typhoon, embora a natureza exata dessa relação permaneça incerta.
O ecossistema de espionagem cibernética ligado ao CopperDragon é impulsionado por três agrupamentos de destaque:
- SilentDelivery (a partir do início de 2026), que conduz ataques de watering hole altamente seletivos contra alvos na Europa e na Ásia, distribuindo uma backdoor chamada SquadC (também conhecida como SquawkDoor) por meio de instaladores MSI adulterados que se disfarçam de utilitários de reparo de certificados
- OceanGate (2025-2026), que se concentra principalmente em organizações asiáticas, usando uma variante do SparrowDoor após obter acesso inicial por meio de servidores Linux expostos à internet e, em seguida, se movimentar lateralmente para ambientes Windows
- DarkWire (meados de 2025), que tem como alvo operadoras de telecomunicações e órgãos governamentais na América Latina usando as backdoors CopperDoor (também conhecida como SparroWocky) e CopperDNS
SilentDelivery
A cadeia do SilentDelivery começa com o atacante injetando JavaScript fortemente ofuscado em sites legítimos frequentados pelos seus alvos. Os visitantes desses sites são recebidos por um alerta de certificado SSL (camada de conexão segura) do Google Chrome, que orienta o usuário a instalar um utilitário “Certificate Fix” para restaurar o acesso.
O suposto utilitário, uma vez implantado, entrega o SquadC ou uma variante do SparrowDoor. Verificou-se que todos os sites comprometidos pertencem aos setores governamental, de transporte marítimo, de TI e de pesquisa na República Tcheca, Alemanha, França, Taiwan, Nepal, Hong Kong e Indonésia.
De acordo com um relatório publicado pela Positive Technologies em agosto de 2026, há indícios de que a campanha também tenha visado entidades no Egito e nas Filipinas com esse mesmo método.
“O JavaScript injetado nos sites comprometidos é fortemente ofuscado com o jsjiami, um serviço público de ofuscação de JavaScript”, afirmou a Check Point. “Primeiro, ele verifica se o usuário está usando Windows e, em alguns casos, confirma se o domínio do site corresponde ao domínio comprometido pretendido.”
Em seguida, o script envia repetidamente solicitações de verificação de status a um servidor de comando e controle (C2) para identificar o usuário com base em IP e geolocalização, decidindo, por fim, se a invasão continua e se o falso alerta é exibido.
Escrito em C/C++, o SquadC é uma backdoor para Windows que permite estabelecer uma primeira base de acesso no equipamento infectado. Ele garante persistência por meio de uma chave de registro do Windows (Registry Run) que se disfarça de assistente de atualização do Windows. Análises posteriores revelaram que o malware também é distribuído por meio de e-mails de phishing direcionados a organizações indonésias.
O e-mail de phishing traz um atalho do Windows (LNK) disfarçado de documento PDF que, ao ser aberto, explora o executável legítimo “ftp.exe” para rodar um script em lote. Esse script exibe um arquivo vazio como isca, enquanto carrega o SquadC por meio de DLL sideloading (carregamento lateral de biblioteca de vínculo dinâmico).
OceanGate
Já a operação OceanGate tem como alvo tanto ambientes Windows quanto Linux, implantando ferramentas até então não documentadas para manter o acesso, se mover lateralmente pela rede e extrair dados sensíveis.
A fase Linux do ataque envolve duas novas backdoors:
- AnnobinDoor, uma backdoor baseada em Go que oferece uma ampla gama de recursos, como acesso remoto, shell interativo, gerenciamento de arquivos, proxy SOCKS, túnel SSH, redirecionamento de portas e conexões reversas, permitindo que a máquina Linux infectada funcione tanto como um shell remoto quanto como um ponto de pivô na rede interna
- SparrowShell, uma backdoor Linux modular que compartilha semelhanças com sua contraparte para Windows, o SparrowDoor
“Depois de coletar credenciais de vários usuários e estabelecer uma base sólida no ambiente Linux, o ator se deslocou para o ambiente Windows”, explicou a Check Point. “O ator tentou fazer login em várias máquinas Windows por meio do RDP (Protocolo de Área de Trabalho Remota), testando diferentes senhas até conseguir autenticar-se com uma conta de administrador.”
Em seguida, são implantadas ferramentas de pós-exploração desenvolvidas sob medida e uma variante do SparrowDoor:
- CopperAdu, uma ferramenta de pós-exploração que configura uma máquina Windows comprometida para acesso administrativo remoto
- CopperList, uma ferramenta de reconhecimento para Windows que coleta informações do host, detalhes dos discos e um inventário recursivo de arquivos, incluindo caminhos, tamanhos e datas de modificação
- CopperLogger, um keylogger baseado em Raw Input (entrada bruta do Windows) que captura eventos de digitação, além de monitorar a área de transferência, os títulos das janelas ativas e os nomes e caminhos dos processos associados
- CopperLsa, um utilitário que coleta senhas, hashes e tokens de autenticação dos protocolos NTLM e Kerberos
Além disso, verificou-se que o ator incorporou rootkits de kernel e capacidades de acesso em nível de kernel ao SparrowDoor e ao SparrowShell para evadir defesas, ocultando processos e capturando e manipulando pacotes de rede por meio de drivers WinDivert.
“O ator usou o driver para transformar o SparrowDoor em uma backdoor passiva, que intercepta e manipula pacotes no nível do kernel, tornando seu tráfego menos visível”, afirmou a Check Point. “Isso permite que a backdoor escute internamente em uma porta enquanto recebe conexões por uma porta acessível externamente, como a 443, que já é usada por um serviço legítimo.”
“A backdoor aplica um filtro rigoroso para interceptar conexões de um endereço IP de origem específico destinadas à porta do serviço legítimo. Ela manipula o pacote e reescreve a porta de destino para a porta interna de escuta da backdoor, normalmente uma porta alta, como a 49628. Para o tráfego de resposta, ela reescreve a porta de origem de volta para a porta do serviço externo, fazendo com que as respostas pareçam originar-se do serviço legítimo.”
Curiosamente, o SparrowShell compartilha semelhanças de código e de infraestrutura com um malware chamado Mélofée, descrito pela primeira vez pela ExaTrack em março de 2023 como baseado no rootkit de código aberto Reptile. Isso levantou a possibilidade de que o CopperDragon também esteja por trás do desenvolvimento e do fornecimento do Mélofée.
DarkWire
O terceiro e último agrupamento de atividade concentra-se na América Latina, com foco especial em operadoras de telecomunicações e entidades governamentais. Esses ataques levaram à implantação de duas backdoors recém-identificadas, chamadas CopperDoor e CopperDNS, possivelmente como substitutas do SparrowDoor.
Também dão suporte a essas operações um conjunto de ferramentas personalizadas:
- CopperLoader, um carregador reflexivo normalmente implantado por meio de DLL sideloading, usado para entregar ferramentas adicionais, incluindo CopperDoor, CopperDNS, CopperProxy e CopperLsass
- CopperDoor, uma backdoor modular residente em memória
- CopperDNS, uma variante do CopperDoor que se comunica por meio de túnel DNS usando consultas MX (registros de troca de e-mail)
- CopperProxy, um proxy SOCKS5
- PyProxy, um retransmissor UDP leve escrito em Python
- CopperLsass, um módulo dedicado à extração de credenciais do processo LSASS (Serviço de Autoridade de Segurança Local) para roubo de credenciais
Procurado para comentar, Alexandre Côté Cyr, pesquisador de malware da ESET, disse ao The Hacker News que a atividade agrupada sob o nome DarkWire corresponde ao que a empresa chama de FamousSparrow, pois “a infraestrutura de rede, as ferramentas e o perfil das vítimas do DarkWire se sobrepõem aos do FamousSparrow”.
“A operação depende fortemente de DLL sideloading como técnica de execução primária, frequentemente abusando de executáveis que não são amplamente observados em outros atores de ameaça no mundo real”, afirmou a Check Point. “Para minimizar sua pegada, os operadores evitaram deliberadamente criar novos diretórios no disco, colocando suas ferramentas em caminhos de sistema já existentes.”
“A infraestrutura do CopperDoor demonstrou um nível mais elevado de segurança operacional. A maioria dos endereços IP estava localizada na América Latina, frequentemente no mesmo país da organização vítima. Essa proximidade provavelmente ajuda o tráfego malicioso a se misturar com a atividade legítima da rede e reduz as chances de detecção.”
