중국과 연계된 국가 지원 해킹 그룹 FamousSparrow가 'SparroWocky'라는 새로운 백도어(해커가 몰래 심어두는 원격 접근 악성 프로그램)를 사용해 2025년 8월부터 라틴아메리카 여러 국가의 정부 기관을 집중 공격하고 있습니다. 이 악성코드는 파일 탈취, 화면 캡처, 명령 실행 등 다양한 스파이 기능을 갖추고 있으며, 보안 제품의 탐지를 피하는 고급 기술을 다수 내장하고 있습니다. ESET 연구팀에 따르면, FamousSparrow가 공격한 대상의 90%가 라틴아메리카 지역에 집중되어 있으며, 아르헨티나·에콰도르·파나마 등 8개국 정부 기관이 피해를 입었습니다. 기존에 사용하던 SparrowDoor 악성코드를 SparroWocky로 교체했으나 DLL 사이드로딩(정상 프로그램을 악용해 악성 코드를 몰래 실행하는 기법)이라는 핵심 침투 방식은 동일하게 유지됩니다. 초기 침투 경로는 아직 밝혀지지 않았으며, 감염 여부 확인과 네트워크 탐지 규칙 업데이트가 필요합니다.
중국 연계 APT 그룹 FamousSparrow가 신규 모듈형 C++ 백도어 SparroWocky를 라틴아메리카 정부 기관 8개국에 배포. 2025년 7월부터 본격화되었으며 아르헨티나, 에콰도르, 과테말라, 온두라스, 파나마, 페루, 푸에르토리코, 베네수엘라가 표적.
감염 시스템에서 파일 탈취, 주기적 화면 캡처, 네트워크 정보 수집, 임의 명령 실행, TCP 프록시 기능이 가능. ESET 텔레메트리 기준 피해 대상의 90%가 라틴아메리카에 집중.
DLL 사이드로딩 체인을 통한 배포. 정상 실행 파일이 로더 DLL을 실행하고, 로더가 메인 페이로드를 복호화해 실행. Mbed TLS, MinHook, COFF Loader, SilentMoonwalk 변종 등 공개 소스 도구를 백도어에 직접 통합해 탐지 우회.
ESET이 기술 보고서 공개 및 C2 서버 주소(216.238.110[.]120) 공개. 초기 침투 벡터는 미확인 상태로 추가 조사 진행 중.
C2 IP 216.238.110[.]120을 방화벽 및 SIEM 차단 목록에 즉시 등록. DLL 사이드로딩 탐지 규칙 강화 및 정부·공공기관 네트워크에서 비정상 TLS 통신 모니터링 권고. FamousSparrow는 Earth Estries, Salt Typhoon과 일부 중첩되므로 관련 IOC 전체 점검 필요.
본문
Ravie Lakshmanan · 2026년 9월 17일 · 악성코드 / 사이버 스파이 활동
FamousSparrow로 알려진 중국 연계 국가 지원 위협 행위자가 최소 2025년 8월부터 라틴아메리카 여러 국가를 표적으로 삼은 공격에서 SparroWocky라는 미보고 백도어를 배포한 정황이 포착되었다.
ESET 보안 연구원 Alexandre Côté Cyr와 Romain Dumont는 The Hacker News에 사전 공개한 기술 보고서에서 "SparroWocky는 모듈형 C++ 백도어"라며 "아키텍처와 제작자가 사용한 기법을 보면 안티분석 트릭과 Windows 내부 구조에 대한 깊은 이해가 드러난다"고 밝혔다.
SparroWocky라는 이름은 영국의 작가·시인·수학자 Lewis Carroll이 약 1855년에 쓴 유명한 난센스 시 '재버워키(Jabberwocky)'의 첫 연이 악성코드 초기 버전에서 발견된 데서 유래했다.
ESET의 최신 분석에 따르면, Earth Estries 및 Salt Typhoon과 일부 중첩되는 이 사이버 스파이 그룹은 기존 주력 임플란트였던 SparrowDoor를 SparroWocky로 교체한 것으로 평가된다. 이 위협 행위자는 최소 2019년부터 활동해온 것으로 추정된다.
SparroWocky는 임의 파일 실행, TCP 프록시 동작, 명령 실행 기능을 갖추고 있다. 또한 감염 시스템의 일반 정보와 네트워크 인터페이스 IP 주소를 수집하고, 파일 탈취, 주기적 화면 캡처, 파일 조작, 자기 삭제 기능도 수행할 수 있다.
더불어 통신 및 방어 우회를 위해 다양한 공개 프로젝트를 활용한다.
- Mbed TLS: C2(명령·제어) 서버("216.238.110[.]120")와 TLS 암호화 통신 채널 수립
- MinHook: 보안 제품으로부터 새로 생성된 스레드의 시작 주소를 숨기기 위해 사용
- COFF Loader: COFF 오브젝트 형태의 인메모리 플러그인을 동적으로 로드·실행
- SilentMoonwalk(또는 StackMoonwalk) 변종: MinHook 루틴에서 발생하는 콜 스택 스푸핑(위장)에 활용
ESET은 "FamousSparrow는 여전히 공개 소스 공격 도구를 악의적인 목적으로 사용하고 있다"며 "기존에는 이 도구들이 주로 그룹의 백도어와 병행 사용되었지만, SparroWocky에서는 공개 소스 코드를 자체 커스텀 백도어에 직접 통합하는 개발 역량도 갖추고 있음을 확인할 수 있다"고 설명했다.
악성코드 계열이 교체되었음에도 기반 기법은 동일하다. SparrowDoor 사례와 마찬가지로, 악성코드는 DLL 사이드로딩 체인을 통해 실행된다. 정상 실행 파일이 로더 DLL을 구동하고, 로더는 메인 페이로드를 복호화해 실행하는 방식이다. 이번 공격에서 사용된 초기 침투 벡터는 아직 밝혀지지 않았다.
또한 FamousSparrow는 2025년 7월부터 라틴아메리카의 고위 표적에 더욱 집중하는 양상을 보이며, 신규 백도어가 아르헨티나, 에콰도르, 과테말라, 온두라스, 파나마, 페루, 푸에르토리코, 베네수엘라의 정부 기관에 배포된 것으로 확인되었다. ESET에 따르면 자사 텔레메트리에 기록된 이 그룹의 공격 대상 중 90%가 해당 지역에 위치해 있다.
슬로바키아 사이버보안 기업 ESET은 "그룹의 라틴아메리카 집중이 공식적인 지리적 임무를 반영하는 것인지, 아니면 현재의 지정학적 상황에 따른 일시적인 현상인지는 아직 명확하지 않다"고 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
