ESET, Yeni SparroWocky Arka Kapı Yazılımını Keşfetti

Siber güvenlik şirketi ESET, Çin merkezli tehdit gruplarından FamousSparrow’un Latin Amerika ülkelerindeki devlet kurumlarını hedef alan siber casusluk faaliyetlerini genişlettiğini saptadı. Yapılan teknik analizler sonucunda, Gelişmiş Kalıcı Tehdit (APT) grubunun SparroWocky adı verilen yeni bir arka kapı yazılımı geliştirdiği ve bu sistemi en azından Ağustos 2025’ten itibaren bölgede yaydığı belirlendi. ESET’in yayımladığı araştırma bültenine göre, tehdit grubunun faaliyetlerindeki bu artış ABD’nin bölgeye yönelik artan diplomatik ve ekonomik ilgisine karşı bir tepki niteliği taşıyor.

FamousSparrow Grubu Latin Amerika’yı Neden Hedef Alıyor?

Siber güvenlik uzmanları, FamousSparrow grubunun Latin Amerika bölgesine yönelik siber casusluk faaliyetlerini en geç Temmuz 2025 döneminde yoğunlaştırmaya başladığını belirtiyor. ESET telemetri verilerine göre, 2025 yılının ortasından 2026 yılına kadar geçen süreçte grubun belirlediği hedeflerin yüzde 90’ı bu coğrafi bölgede yer aldı. Bu kesintisiz ve yoğun odaklanma, Çin’in bölgedeki stratejik çıkarlarını koruma gayesiyle doğrudan ilişkilendiriliyor.

ABD Başkanı Donald Trump’ın ikinci döneminde Latin Amerika’daki Amerikan çıkarlarını agresif bir şekilde yeniden tesis etme çabaları, Çin’in son on yılda bölgede enerji, madencilik ve telekomünikasyon sektörlerinde gerçekleştirdiği uzun vadeli büyük yatırımları doğrudan tehdit eder hale geldi. FamousSparrow grubunun bu operasyonları, yerel hükümetlerin ABD baskılarına karşı vereceği olası yanıtları önceden izleme ve analiz etme amacını taşıyor.

Panama’da siber saldırıya uğrayan devlet kurumlarından birinin, kanal bölgesinde yer alan ve yakın zamana kadar Çinli bir şirket tarafından işletilen iki büyük limanla ilgili devam eden ticari anlaşmazlıkta doğrudan taraf olması bu durumu netleştiriyor.

SparroWocky Arka Kapı Yazılımının Teknik Özellikleri Nelerdir?

SparroWocky, modüler bir C++ yapısına sahip olup Windows işletim sisteminin derin mekanizmalarına hakim yetkinlikte tasarlanmış bir arka kapı yazılımıdır. Yazılımın teknik becerileri arasında, hedef alınan sistem üzerinde rastgele dosyaları çalıştırma, bir TCP proxy’si gibi hareket etme ve doğrudan komutları yürütme fonksiyonları bulunuyor. Güvenlik analizlerine göre, bulaştığı cihazlardan bilgisayar adı, kullanıcı adı, ağ etki alanı, kullanılan Windows sürümü ve ağ arayüzlerine ait tüm IP adresleri gibi kapsamlı verileri toplayabiliyor.

Zararlı yazılım ayrıca sistemden hassas dosyaları sızdırma ve belirli aralıklarla ekran görüntüsü kaydetme yeteneklerine de sahip. SparroWocky sızdırdığı tüm bu verileri RC4 algoritmasıyla şifreleyerek TLS protokolü vasıtasıyla dışarı aktarıyor. Kalıcılık elde etmek amacıyla sistemde özel bir Windows servisi oluşturabiliyor ya da kayıt defterindeki Run anahtarı altına yeni bir girdi ekleyebiliyor. Güvenlik yazılımlarından gizlenmek amacıyla bellekteki alt seviye veri yapılarını manipüle eden zararlı program, çalışma zamanında kendi kodunu yamayarak analiz edilmesini zorlaştırıyor.

Lewis Carroll Şiiri Siber Casusluk Dosyasına Nasıl Dahil Oldu?

ESET araştırmacıları, ele geçirilen ilk zararlı yazılım örneklerinin tamamında İngiliz yazar, şair ve matematikçi Lewis Carroll’un kaleme aldığı anlamsız şiir olan Jabberwocky’nin ilk kıtasını tespit etti. Bu alışılmadık detay nedeniyle arka kapı programı siber güvenlik raporlarında SparroWocky olarak isimlendirildi. FamousSparrow grubunun bu edebi referansı zararlı kod altyapısında neden kullandığı tam olarak bilinmese de, araştırmacılar sistemin işleyişini bu şiirdeki sembollerle bağdaştırıyor.

ESET araştırmacıısı Alexandre Côté Cyr, konuya ilişkin yaptığı açıklamada, siber tehdidin derinlemesine incelendiğini vurguladı. Cyr, SparroWocky’nin iç işleyişinin gelişmiş olmasına rağmen çözülemez olmadığını belirterek Arjantin, Ekvador, Guatemala, Honduras, Panama, Peru, Porto Riko ve Venezuela’daki devlet kurumlarına yönelik bu saldırıların Çin bağlantılı APT grupları arasında nadir görülen genişlikte bir coğrafi yayılıma sahip olduğunu ifade etti.

Sızma Testi Araçları ve Açık Kaynak Kod Entegrasyonu Nasıl Gerçekleşiyor?

FamousSparrow grubunun bu yeni kampanya ile birlikte siber saldırı metodolojisinde bazı stratejik değişikliklere gittiği gözlemleniyor. Grup, kendi geliştirdiği özel yazılımlara ek olarak açık kaynak kodlu projelerden aldığı fonksiyonları doğrudan kötü amaçlı yazılım mimarisine entegre etmeye başladı. SparroWocky, kırmızı takım çalışmaları ve sızma testlerinde yaygın olarak kullanılan Beacon Object Files biçimindeki özel yürütülebilir dosyaları doğrudan yükleyip çalıştırabiliyor.

Geçmişte bu tarz açık kaynaklı araçları sadece ana arka kapı yazılımlarının yanında yardımcı eleman olarak kullanan tehdit aktörleri, artık bunları doğrudan SparroWocky’nin çekirdek yapısına dahil ediyor. Bu entegrasyon yeteneği, saldırganların yeni sızma tekniklerini çok daha hızlı bir şekilde sahaya sürmelerine ve hedef sistemlerdeki güvenlik kontrollerini aşmalarına olanak tanıyor.

İlgili haberler

• Kaspersky macOS Hedefleyen Yeni MacSync Sürümünü Keşfetti
• ESET Yapay Zekâlı Sahte Görüntülere Karşı Önlemleri Sıraladı

Sektör Profesyonelleri İçin Çıkarımlar

• Jeopolitik Odaklanma: FamousSparrow tehdit grubunun Latin Amerika bölgesindeki hedeflerinin oranı yüzde 90 seviyesine ulaşarak siber casusluk operasyonlarının jeopolitik gerilimlere paralel olarak yoğunlaştığını gösteriyor.
• Açık Kaynak Entegrasyonu: Saldırganlar, kırmızı takım araçlarında kullanılan Beacon Object Files gibi açık kaynak kodlu projeleri doğrudan kendi özel arka kapı yazılımlarına entegre ederek geliştirme yeteneklerini artırıyor.
• Gelişmiş Gizlenme Teknikleri: SparroWocky yazılımı, bellekteki düşük seviyeli yapıları manipüle edip çalışma zamanında kodu yamayarak güvenlik çözümlerinin tespit mekanizmalarını aşmayı hedefliyor.

Sıkça Sorulan Sorular

SparroWocky ismi nereden geliyor?

Güvenlik uzmanları, inceledikleri ilk kod örneklerinde Lewis Carroll’un Jabberwocky şiirinin ilk kıtasına rastladıkları için bu arka kapı yazılımına SparroWocky adını vermiştir.

FamousSparrow tehdit grubu ne zamandan beri faaliyet gösteriyor?

Grup, 2019 yılından bu yana aktif olarak siber casusluk faaliyetleri yürütmekte olup ilk kez Eylül 2021’de ESET Research tarafından kamuoyuna duyurulmuştur.

Zararlı yazılım sızdırdığı verileri nasıl şifreliyor?

SparroWocky topladığı ekran görüntülerini ve sistem dosyalarını RC4 algoritmasıyla şifreleyerek TLS protokolü üzerinden dış sunuculara aktarmaktadır.

Yazılım hedef sistemde nasıl kalıcılık sağlıyor?

Sistem yapılandırmasına bağlı olarak özel bir Windows servisi oluşturarak veya sistem kayıt defterindeki Run anahtarına kayıt ekleyerek varlığını sürdürüyor.