Newshot 文章标题：通过 Sparrow 恶意软件生态系统关联的三起中国关联间谍活动
正文：
过去一年中，观察到三个不同的威胁活动集群，它们共享基础设施且恶意软件代码存在相似之处，针对拉丁美洲、亚洲和欧洲的电信提供商、政府组织、军事实体、研究机构和关键基础设施发动攻击。
Check Point Research 以 SilentDelivery、OceanGate 和 DarkWire 为名追踪这些集群。尽管最初被认为是一组独立的攻击活动，各自拥有自己的后门和后期利用工具，但它们都通过一个名为 Sparrow 的恶意软件生态系统联系在一起。
Sparrow 框架背后的实体被命名为 CopperDragon，评估认为其是一名数字军需官，为中国关联的威胁行为者开发工具，包括 FamousSparrow、Earth Estries、Tropic Trooper、UAT-9244 和 UAT-8302。
“每个集群都使用了不同的工具集和不同的初始访问技术，包括入侵面向互联网的基础设施和高度选择性的水坑攻击，”Check Point 在今天发布的一份技术报告中表示。“用于水坑攻击的被入侵网站属于政府、航运以及 IT 和研究领域。”
FamousSparrow 发动的攻击以部署 SparrowDoor（及其变体 Crowdoor 和 TernDoor）、SparroWocky 和 HemiGate 等后门而闻名。据评估，它还与 Salt Typhoon 存在某种程度的重叠。然而，两者关系的具体性质仍不清楚。
与 CopperDragon 关联的网络间谍生态系统由三个主要集群驱动——
- SilentDelivery（始于 2026 年初），针对欧洲和亚洲开展高度选择性的水坑攻击，通过伪装成证书修复工具的带木马 MSI 安装程序分发名为 SquadC（又名 SquawkDoor）的后门
- OceanGate（2025-2026），主要通过面向互联网的 Linux 服务器获得初始访问权限，然后横向移动到 Windows 环境，使用 SparrowDoor 的一个变体，主要针对亚洲组织
- DarkWire（2025 年中），使用名为 CopperDoor（又名 SparroWocky）和 CopperDNS 的后门，针对拉丁美洲的电信提供商和政府组织
SilentDelivery
SilentDelivery 攻击链始于攻击者将高度混淆的 JavaScript 注入到目标经常访问的合法网站中。访问这些网站的用户会看到一个 Google Chrome SSL 证书警告，指示用户安装“Certificate Fix”实用程序以恢复访问。
这个所谓的实用程序一旦部署，就会投递 SquadC 或 SparrowDoor 的一个变体。所有被入侵的网站均被发现与捷克共和国、德国、法国、台湾、尼泊尔、香港和印度尼西亚的政府、航运、IT 和研究领域相关。
根据 Positive Technologies 于 2026 年 8 月发布的一份报告，有迹象表明该活动还使用此方法针对埃及和菲律宾的实体。
“注入到被入侵网站中的 JavaScript 使用 jsjiami 进行了高度混淆，这是一个公开可用的 JavaScript 混淆服务，”Check Point 表示。“它首先检查用户是否运行 Windows，并在某些情况下验证网站域名是否与预期的被入侵域名匹配。”
随后，该脚本反复向命令与控制（C2）服务器发送状态检查请求，基于 IP 和地理位置对用户进行指纹识别，并最终决定是否继续攻击并投放虚假警告。
SquadC 以 C/C++ 编写，是一个 Windows 后门，可在受感染主机上建立初始立足点。它通过一个伪装成 Windows 更新助手的 Windows 注册表 Run 键实现持久化。进一步分析发现，该恶意软件还通过针对印度尼西亚组织的钓鱼邮件进行分发。
钓鱼邮件附带一个伪装成 PDF 文档的 Windows 快捷方式（LNK），打开后会滥用合法的 "ftp.exe" 二进制文件运行一个批处理脚本，该脚本负责显示一个空文件作为诱饵，同时通过 DLL 侧加载启动 SquadC。
OceanGate
另一方面，OceanGate 行动已被观察到同时针对 Windows 和 Linux 环境，部署此前未记录的工具来维持访问、在网络中横向移动并窃取敏感数据。
攻击的 Linux 阶段涉及两个新后门——
- AnnobinDoor，一个基于 Go 的后门，支持多种功能，如远程访问、交互式 shell、文件管理、SOCKS 代理、SSH 隧道、端口转发和反向连接，并使受感染的 Linux 机器既能充当远程 shell，又能作为内部网络的跳板
- SparrowShell，一个模块化 Linux 后门，与其 Windows 对应版本 SparrowDoor 存在重叠
"在从多个用户处收集凭据并在 Linux 环境中建立稳固立足点后，攻击者转向了 Windows 环境，"Check Point 解释道。"攻击者尝试通过 RDP 登录多台 Windows 机器，不断尝试不同密码，直到成功使用管理员账户通过认证。"
此步骤之后是部署定制的后渗透工具和一个 SparrowDoor 变种——
- CopperAdu，一个后渗透工具，用于将受感染的 Windows 机器配置为支持远程管理访问
- CopperList，一个 Windows 侦察工具，用于收集主机信息、磁盘详细信息以及递归文件清单，包括文件路径、大小和时间戳
- CopperLogger，一个基于 Raw Input 的键盘记录器，用于捕获键盘输入事件，同时监控剪贴板活动、活动窗口标题以及相关进程名称和路径
- CopperLsa，一个从 NTLM 和 Kerberos 中收集密码、哈希和认证令牌的工具
此外，威胁行为者还被发现将内核 rootkit 和内核级访问能力整合进 SparrowDoor 和 SparrowShell，以通过进程隐藏规避防御，并利用 WinDivert 驱动捕获和操纵网络数据包。
"攻击者滥用该驱动将 SparrowDoor 转变为被动后门，在内核层面拦截和操纵数据包，使其流量更不易被发现，"Check Point 表示。"这使后门能够在内部监听一个端口，同时通过一个外部可访问的端口（如已被合法服务使用的 443 端口）接收连接。"
“该后门应用严格的过滤器，以拦截来自特定源 IP 地址到合法服务端口的连接。它会操纵数据包，并将目标端口重写为后门的内部监听端口，通常是 49628 这样的高位端口。对于响应流量，它会将源端口重写回外部服务端口，使响应看起来来自合法服务。”
有趣的是，SparrowShell 与名为 Mélofée 的恶意软件在代码和基础设施层面存在相似之处；ExaTrack 曾于 2023 年 3 月首次将其描述为基于开源 Reptile rootkit。这引发了 CopperDragon 也可能参与 Mélofée 的开发与供应的可能性。
DarkWire
第三个也是最后一个活动集群集中在拉丁美洲，尤其关注电信运营商和政府实体。这些攻击导致部署了两个新发现的后门 CopperDoor 和 CopperDNS，它们可能是 SparrowDoor 的替代品。
此外，还有一套自定义工具支持这些操作——
- CopperLoader，一种反射加载器，通常通过 DLL 侧加载部署，用于投递其他工具，包括 CopperDoor、CopperDNS、CopperProxy 和 CopperLsass
- CopperDoor，一种内存驻留的模块化后门
- CopperDNS，一种 CopperDoor 变体，通过使用 MX 查询的 DNS 隧道进行通信
- CopperProxy，一种 SOCKS5 代理
- PyProxy，一种用 Python 编写的轻量级 UDP 中继
- CopperLsass，一个用于转储 LSASS 进程以进行凭据收集的专用模块
ESET 的恶意软件研究员 Alexandre Côté Cyr 在回应置评请求时告诉 The Hacker News，归入 DarkWire 的活动与他们所称的 FamousSparrow 相对应，因为“DarkWire 的工具、网络基础设施和受害者特征与 FamousSparrow 重叠。”
Check Point 表示：“该行动严重依赖 DLL 侧加载作为主要执行技术，经常滥用其他威胁行为者在野不常观察到的可执行文件。为尽量减少足迹，操作者故意避免在磁盘上创建新目录，而是将工具放在现有系统路径中。”
“CopperDoor 基础设施表现出更高水平的运营安全。大多数 IP 地址位于拉丁美洲，通常与受害者组织在同一个国家。这种邻近性很可能有助于恶意流量与合法网络活动融为一体，并降低被检测到的机会。”