El equipo de investigación de ESET publicó un informe sobre FamousSparrow, un grupo de ciberespionaje vinculado a China que concentró casi toda su actividad en América Latina. Según la empresa, entre mediados de 2025 y 2026 el 90% de los objetivos del grupo registrados en su telemetría estaba en la región.
A quiénes atacó
ESET observó el nuevo malware del grupo en ataques contra entidades gubernamentales de Argentina, Ecuador, Guatemala, Honduras, Panamá, Perú, Puerto Rico y Venezuela. Chile no aparece en la lista publicada.
Los investigadores Romain Dumont y Alexandre Côté Cyr señalan que es un comportamiento poco común entre los grupos vinculados a China que monitorean, que suelen repartir sus operaciones entre varias regiones. Su hipótesis es que el foco en América Latina responde a la mayor presencia de Estados Unidos en la región.
La herramienta nueva
Desde agosto de 2025 el grupo reemplazó su backdoor habitual, SparrowDoor, por uno nuevo que ESET bautizó SparroWocky, porque las primeras muestras contenían la primera estrofa del poema “Jabberwocky” de Lewis Carroll. Un backdoor es un programa que deja una puerta trasera abierta para controlar el equipo comprometido.
Según el informe, SparroWocky:
- está escrito en C++ y tiene una arquitectura modular;
- manipula estructuras de memoria y modifica código mientras se ejecuta para evitar ser detectado;
- incorpora código de proyectos de código abierto;
- puede cargar y ejecutar Beacon Object Files, un tipo de archivo compatible con varias herramientas de pruebas de penetración.
Quién es FamousSparrow
ESET lo documentó por primera vez en 2021, cuando explotaba la vulnerabilidad ProxyLogon. Al principio era conocido por atacar hoteles, aunque también ha apuntado a gobiernos, organismos internacionales, empresas de ingeniería y estudios jurídicos. Se lo ha relacionado públicamente con Salt Typhoon, pero ESET lo sigue como un actor independiente por falta de pruebas técnicas que confirmen ese vínculo.
Imagen: ESET.
