„Jeder Cluster nutzte andere Werkzeuge und andere Techniken für den Erstzugriff, darunter die Kompromittierung von aus dem Internet erreichbarer Infrastruktur und hochselektive Watering-Hole-Angriffe“, schreibt Check Point in seinem technischen Bericht. Bei den für Watering-Hole-Angriffe missbrauchten Websites handelte es sich um Seiten aus den Bereichen Regierung, Schifffahrt sowie IT und Forschung.

FamousSparrow ist für den Einsatz von Backdoors wie SparrowDoor (samt den Varianten Crowdoor und TernDoor), SparroWocky und HemiGate bekannt. Die Gruppe weist zudem gewisse Überschneidungen mit Salt Typhoon auf; wie genau beide zusammenhängen, ist allerdings unklar.

Die drei Cluster im Überblick:

  • SilentDelivery (seit Anfang 2026): hochselektive Watering-Hole-Angriffe in Europa und Asien, die über trojanisierte MSI-Installer – getarnt als Werkzeuge zur Zertifikatsreparatur – die Backdoor SquadC (auch SquawkDoor) verbreiten.
  • OceanGate (2025–2026): vor allem Organisationen in Asien; Erstzugriff über aus dem Internet erreichbare Linux-Server, danach Ausbreitung in Windows-Umgebungen mit einer SparrowDoor-Variante.
  • DarkWire (Mitte 2025): Telekommunikationsanbieter und Regierungsstellen in Lateinamerika, angegriffen mit den Backdoors CopperDoor (auch SparroWocky) und CopperDNS.

SilentDelivery: gefälschte Zertifikatswarnung

Die Angreifer schleusen stark verschleiertes JavaScript in legitime Websites ein, die ihre Zielpersonen regelmäßig besuchen. Besucher sehen eine vermeintliche SSL-Zertifikatswarnung von Google Chrome, die sie auffordert, ein „Certificate Fix“-Werkzeug zu installieren, um wieder Zugriff zu erhalten. Dieses liefert entweder SquadC oder eine SparrowDoor-Variante aus. Die kompromittierten Websites stammen aus den Bereichen Regierung, Schifffahrt, IT und Forschung in Tschechien, Deutschland, Frankreich, Taiwan, Nepal, Hongkong und Indonesien. Einem im August 2026 veröffentlichten Bericht von Positive Technologies zufolge gibt es Hinweise, dass die Kampagne auf diesem Weg auch Ziele in Ägypten und auf den Philippinen ins Visier nahm.

Laut Check Point ist das eingeschleuste Skript mit jsjiami verschleiert, einem öffentlich verfügbaren Dienst zur JavaScript-Obfuskation. Es prüft zunächst, ob der Besucher Windows nutzt, und teils auch, ob die Domain der Website mit der beabsichtigten kompromittierten Domain übereinstimmt. Anschließend sendet es wiederholt Statusanfragen an einen Command-and-Control-Server (C2), der den Nutzer anhand von IP-Adresse und Standort erfasst und entscheidet, ob der Angriff fortgesetzt und die gefälschte Warnung angezeigt wird.

SquadC ist eine in C/C++ geschriebene Windows-Backdoor für den ersten Brückenkopf auf dem infizierten Rechner. Sie verankert sich über einen Run-Schlüssel in der Windows-Registry, der sich als Windows-Update-Assistent ausgibt. Weitere Analysen zeigten, dass die Malware auch per Phishing-Mail an Organisationen in Indonesien verteilt wird. Die Mails enthalten eine als PDF getarnte Windows-Verknüpfung (LNK), die das legitime Programm „ftp.exe“ missbraucht, um ein Batch-Skript auszuführen. Dieses zeigt als Ablenkung eine leere Datei an und startet SquadC per DLL-Sideloading.

OceanGate: von Linux nach Windows

OceanGate richtet sich gegen Windows- und Linux-Umgebungen und setzt bislang nicht dokumentierte Werkzeuge ein, um Zugang zu halten, sich im Netzwerk seitwärts zu bewegen und sensible Daten abzuziehen. In der Linux-Phase kommen zwei neue Backdoors zum Einsatz:

  • AnnobinDoor: in Go geschrieben, mit Fernzugriff, interaktiver Shell, Dateiverwaltung, SOCKS-Proxy, SSH-Tunneln, Portweiterleitung und Reverse-Verbindungen; der infizierte Linux-Rechner dient damit als Remote-Shell und als Sprungbrett ins interne Netz.
  • SparrowShell: eine modulare Linux-Backdoor mit Überschneidungen zum Windows-Pendant SparrowDoor.

„Nachdem der Akteur Zugangsdaten mehrerer Nutzer gesammelt und sich in der Linux-Umgebung fest eingenistet hatte, wechselte er in die Windows-Umgebung“, erläutert Check Point. Er versuchte, sich per RDP an mehreren Windows-Rechnern anzumelden, und probierte verschiedene Passwörter, bis die Anmeldung mit einem Administratorkonto gelang. Danach folgten eine SparrowDoor-Variante und eigens entwickelte Post-Exploitation-Werkzeuge:

  • CopperAdu: richtet einen kompromittierten Windows-Rechner für administrativen Fernzugriff ein.
  • CopperList: Aufklärungswerkzeug, das Host- und Festplatteninformationen sowie ein rekursives Dateiverzeichnis mit Pfaden, Größen und Zeitstempeln erfasst.
  • CopperLogger: Keylogger auf Basis von Raw Input, der zusätzlich Zwischenablage, aktive Fenstertitel sowie zugehörige Prozessnamen und -pfade überwacht.
  • CopperLsa: sammelt Passwörter, Hashes und Authentifizierungstoken aus NTLM und Kerberos.

Außerdem baute der Akteur Kernel-Rootkits und Kernel-Zugriffsfunktionen in SparrowDoor und SparrowShell ein, um Prozesse zu verbergen und mithilfe von WinDivert-Treibern Netzwerkpakete abzufangen und zu manipulieren. „Der Akteur missbrauchte den Treiber, um SparrowDoor in eine passive Backdoor zu verwandeln, die Pakete auf Kernel-Ebene abfängt und manipuliert, wodurch ihr Datenverkehr weniger sichtbar wird“, so Check Point. Die Backdoor lauscht intern auf einem Port, empfängt Verbindungen aber über einen von außen erreichbaren Port wie 443, den bereits ein legitimer Dienst nutzt. Ein strikter Filter fängt Verbindungen einer bestimmten Quell-IP-Adresse zum Port des legitimen Dienstes ab und schreibt den Zielport auf den internen Port der Backdoor um, typischerweise einen hohen Port wie 49628. Bei Antworten wird der Quellport zurück auf den externen Dienstport gesetzt, sodass sie vom legitimen Dienst zu stammen scheinen.

SparrowShell weist zudem Code- und Infrastrukturähnlichkeiten mit der Malware Mélofée auf, die ExaTrack im März 2023 erstmals beschrieben hat und die auf dem Open-Source-Rootkit Reptile basiert. Das legt nahe, dass CopperDragon auch Mélofée entwickelt und bereitstellt.

DarkWire: neue Backdoors in Lateinamerika

Der dritte Cluster konzentriert sich auf Telekommunikationsbetreiber und Regierungsstellen in Lateinamerika. Dort wurden die neu identifizierten Backdoors CopperDoor und CopperDNS eingesetzt, möglicherweise als Ersatz für SparrowDoor. Dazu kommt ein Satz eigener Werkzeuge:

  • CopperLoader: reflektiver Loader, meist per DLL-Sideloading eingesetzt, der weitere Werkzeuge wie CopperDoor, CopperDNS, CopperProxy und CopperLsass nachlädt.
  • CopperDoor: modulare Backdoor, die nur im Arbeitsspeicher läuft.
  • CopperDNS: CopperDoor-Variante, die per DNS-Tunneling über MX-Abfragen kommuniziert.
  • CopperProxy: SOCKS5-Proxy.
  • PyProxy: schlanker UDP-Relay in Python.
  • CopperLsass: Modul zum Auslesen des LSASS-Prozesses, um Zugangsdaten zu erbeuten.

„Die Operation stützt sich stark auf DLL-Sideloading als wichtigste Ausführungstechnik und missbraucht dabei oft ausführbare Dateien, die bei anderen Bedrohungsakteuren kaum zu beobachten sind“, so Check Point. Um möglichst wenige Spuren zu hinterlassen, legten die Angreifer keine neuen Verzeichnisse an, sondern platzierten ihre Werkzeuge in bestehenden Systempfaden. Die Infrastruktur von CopperDoor zeugte laut Check Point von höherer operativer Sicherheit: Die meisten IP-Adressen lagen in Lateinamerika, oft im selben Land wie die angegriffene Organisation. Diese Nähe helfe vermutlich, den schädlichen Datenverkehr unter legitimen Netzwerkverkehr zu mischen und die Entdeckungswahrscheinlichkeit zu senken.