중국과 연관된 해킹 그룹 FamousSparrow가 'SparroWocky'라는 새로운 백도어(해커가 몰래 시스템에 침입하기 위한 악성 프로그램) 악성코드를 이용해 라틴아메리카 정부 기관들을 1년 이상 공격해 왔습니다. 아르헨티나, 에콰도르, 과테말라 등 8개국이 표적이 됐으며, 목적은 미국의 중국 경제 압박에 대한 라틴아메리카 각국 정부의 동향을 파악하는 것으로 추정됩니다. SparroWocky는 파일 탈취, 화면 캡처, 원격 명령 실행 등 광범위한 첩보 수집 기능을 갖추고 있으며, 보안 솔루션을 피하기 위한 다양한 탐지 회피 기술도 내장되어 있습니다. 악성코드는 DLL 사이드로딩(정상 프로그램에 악성 DLL 파일을 끼워 넣는 기법)으로 설치되며, 정상 Windows 구성 요소로 위장해 보안 제품의 탐지를 피합니다. 보안 담당자는 공개된 침해지표(IoC)를 참고해 관련 C2(명령·제어 서버) 주소를 즉시 차단하고 의심스러운 DLL 로딩 행위를 모니터링해야 합니다.
중국 연계 APT 그룹 FamousSparrow가 신규 백도어 SparroWocky를 사용해 라틴아메리카 8개국 정부 기관을 대상으로 2025년 중반부터 지속적인 사이버 첩보 공격을 수행했다.
아르헨티나·에콰도르·과테말라·온두라스·파나마·페루·푸에르토리코·베네수엘라의 정부 조직이 침해됐으며, 정부 기밀 정보 및 대미 외교·경제 대응 관련 인텔리전스가 유출됐을 가능성이 있다.
DLL 사이드로딩을 통해 RC4로 암호화된 악성 페이로드를 메모리에 직접 로드하며, 콜 스택 위조·동적 API 해석·스레드 시작 주소 조작 등 다층 탐지 회피 기법을 사용해 보안 솔루션을 우회한다.
ESET이 기술 분석 보고서와 함께 18개 이상의 C2 주소 및 IoC 목록을 공개했다. 해당 주소(포트 443, 8080)와 관련 IoC를 즉시 차단하고, ProcAuditManager 서비스 및 SnapCart 레지스트리 키 생성 여부를 점검해야 한다.
SparroWocky는 AnimateWindow를 스레드 시작 주소로 위장하는 등 정교한 보안 제품 우회 기법을 사용하므로, 시그니처 기반 탐지만으로는 부족하다. EDR(엔드포인트 탐지 및 대응) 솔루션의 메모리 기반 행위 탐지 강화와 DLL 사이드로딩 이상 징후 모니터링이 필요하다.
본문
중국과 연계된 것으로 알려진 첩보 그룹 FamousSparrow가 라틴아메리카 정부 기관 공격에 SparroWocky라는 신규 백도어를 사용하고 있습니다.
해당 작전은 1년 이상 지속되고 있으며, 기존에 사용하던 커스텀 백도어 SparrowDoor를 새로운 악성코드로 교체한 것으로 확인됩니다.
ESET 연구진은 아르헨티나, 에콰도르, 과테말라, 온두라스, 파나마, 페루, 푸에르토리코, 베네수엘라의 기관을 표적으로 한 공격에서 SparroWocky를 포착했습니다.
연구진은 위협 행위자의 목적이 중국 경제 이익에 대한 미국의 압박 강화에 라틴아메리카 각국 정부가 어떻게 대응하는지 관련 인텔리전스를 수집하는 것이라고 판단합니다.
FamousSparrow 피해 현황
출처: ESET
ESET의 분석에 따르면 SparroWocky는 오픈소스 프로젝트의 코드를 일부 포함한 모듈형 풀기능 C++ 백도어입니다.
이 악성코드는 메모리 내 저수준 구조 조작 및 런타임 코드 패칭 등 안티분석 메커니즘을 갖추고 있습니다. SparroWocky의 주요 기능은 다음과 같습니다:
- 명령어 및 실행 파일 실행
- 메모리 내 Beacon Object File 로드 및 실행
- 시스템·네트워크·사용자·도메인·Windows 버전 정보 수집
- 드라이브·디렉터리·파일·디스플레이·활성 사용자 세션 열거
- 파일 업로드·다운로드·복사·이동·이름 변경·삭제
- 500밀리초마다 스크린샷 캡처, 첫 전체 화면 이미지 이후에는 변경된 화면 영역만 전송
- 다른 로그인된 사용자 세션에서 프로세스 생성
- TCP 프록시로 동작하며 연결 포워딩
- 자체 지속성 제거 및 관련 파일 자가 삭제
연구진에 따르면 악성코드는 로더가 .dat 파일에 포함된 RC4 암호화 페이로드를 복호화한 뒤 탐지 회피를 위해 메모리에 직접 매핑하는 DLL 사이드로딩 방식으로 배포됩니다.
SparroWocky에는 콜 스택 및 위협 출처 위장(spoofing), 동적 API 리졸빙, 메모리 내 악성 코드 및 DLL을 정상 Windows 구성 요소로 위장하는 기법 등 여러 탐지 회피 메커니즘이 적용되어 있습니다.
보안 솔루션의 탐지를 피하기 위해 SparroWocky는 Windows 스레드 생성 프로세스를 가로채 시작 주소를 변조합니다.
"SparroWocky는 MinHook 라이브러리를 사용해 CreateThread 함수를 후킹(hooking)함으로써 보안 제품으로부터 원래의 lpStartAddress 매개변수를 숨깁니다.
사실상 SparroWocky가 생성하는 모든 스레드는 AnimateWindow를 시작 주소로 갖게 되며, 보안 제품은 이를 정상적인 것으로 판단할 가능성이 높습니다."라고 ESET은 설명합니다.
SparroWocky는 이용 가능한 권한 수준에 따라 Windows 서비스(ProcAuditManager) 등록 또는 HKLM·HKCU 하위에 Windows 레지스트리 키(SnapCart) 추가를 통해 지속성을 확보합니다.
연구진은 이 악성코드의 아키텍처와 탐지 회피 기법이 "안티분석 기법과 Windows 내부 구조에 대한 높은 수준의 지식을 보여준다"고 밝히며, 이는 충분한 자원과 경험을 갖춘 위협 그룹이라는 귀속(attribution) 판단과 일치한다고 설명합니다.
ESET은 공격 분석 과정에서 포트 443 또는 8080을 통해 악성코드와 직접 통신하거나 HTTP 및 SOCKS5 프록시를 경유하는 C2(명령·제어) 주소를 최소 18개 확인했습니다.
ESET의 텔레메트리에 따르면 2025년 중반부터 FamousSparrow의 공격 대상이 주로 라틴아메리카 지역에 집중되고 있습니다.
ESET의 보고서에는 SparroWocky 백도어에 대한 기술 분석과 함께 해당 활동과 관련된 침해지표(IoC) 목록이 포함되어 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
