LONDON / LONDON (IT BOLTWISE) – Sicherheitsforscher ordnen drei zuvor getrennt wirkende Spionage-Cluster dem Malware-Ökosystem Sparrow zu. Im Zentrum steht das als CopperDragon codierte Team, das Werkzeuge für China-nexus Akteure bereitstellen soll. Je nach Cluster kommen unterschiedliche Initialzugriffe zum Einsatz, darunter stark selektive Watering-Hole-Angriffe, kompromittierte Internet-Server und Phishing über LNK-Dokumente. Technisch auffällig sind dabei u. a. ein Windows-Backdoor mit Registry-Persistence, ein Linux-to-Windows-Migrationstrack per RDP und ein DNS-Tunneling-Ansatz bei einem Telekommunikations-Fokus.
Drei getrennte Aktivitäten, die über die letzten Monate in unterschiedlichen Regionen aufgefallen sind, lassen sich nun zu einem gemeinsamen Spurenset verdichten: ein Malware-Ökosystem namens Sparrow. Sicherheitsforschung beschreibt drei Cluster mit geteilter Infrastruktur und Code-Ähnlichkeiten, die auf unterschiedliche Zieltypen wirken – von Telekommunikationsanbietern und Behörden über militärnahe Organisationen bis hin zu Forschungseinrichtungen und Teilen der kritischen Infrastruktur. Statt von unabhängigen Operationen auszugehen, wird das Muster als integrierte „Lieferkette“ gelesen, bei der Werkzeuge, Zugangswege und Post-Exploitation-Module aus einem zentralen Baukasten stammen. Im Bericht wird die verantwortliche Entität als CopperDragon codiert und als digitale „Schlüsselstelle“ für China-nexus Bedrohungsakteure eingeordnet.
Das Kernprinzip hinter der Zuordnung liegt in den wiederkehrenden Komponenten: Jede der drei Kampagnen nutzt zwar eigene erste Zugriffe und teils eigene Backdoors, sie greifen aber auf Versionen und Derivate aus dem Sparrow-Umfeld zurück. So taucht in einem Cluster eine ganze Familie von Backdoors auf, darunter SparrowDoor sowie Varianten wie Crowdoor und TernDoor. Gleichzeitig wird eine gewisse Überlappung zu einer anderen, älteren Aktivitätenfamilie genannt, allerdings bleibt die genaue Verzahnung offen. Diese Unschärfe ist wichtig: Bei Spionageoperationen reichen Code-ähnliche Module und Infrastruktur-Referenzen oft aus, um eine gemeinsame Entwicklungslinie nahezulegen – eine vollständige attribution im Sinne eines „wer genau“ bleibt jedoch mangels eindeutiger Beweise häufig eine offene Frage.
Technisch nimmt das erste Cluster, SilentDelivery, einen besonders selektiven Ansatz. Der Einstieg erfolgt über stark obfuskierten JavaScript-Code, der in legitime Webseiten eingeschleust wird, die für die vorgesehenen Zielgruppen relevant sind. Besucher erhalten nicht sofort ein klassisches Schadprogramm-Download-Fenster, sondern zunächst eine Warnung im Browser-Kontext, die sie zum Installieren einer „Certificate Fix“-Utility bewegen soll. Der Clou: Die „Utility“ liefert anschließend je nach Situation entweder ein Modul wie SquadC oder eine SparrowDoor-Variante. Die Logik prüft dabei u. a. das Betriebssystem und teilweise auch die Domainzugehörigkeit, um Opfer-Qualität zu filtern. Erst danach werden wiederholt Status-Check-Anfragen an ein Command-and-Control-System gesendet, mit deren Hilfe das Ziel per IP und Geolokation typisiert und die weitere Ausführung entschieden wird. Ergänzend kommt eine weitere Verbreitungsroute vor: SquadC lässt sich offenbar auch über Phishing-Kampagnen verteilen, in denen eine LNK-Datei als PDF getarnt ist und über ein Missbrauchsszenario mit dem legitimen „ftp.exe“-Binary sowie DLL-Sideloading den Schadcode startet.
Im zweiten Cluster, OceanGate, verschiebt sich der Schwerpunkt auf eine mehrstufige Bewegung durch heterogene Umgebungen. Beobachtungen zeigen, dass die Angreifer sowohl Windows- als auch Linux-Phasen nutzen und dabei bislang undokumentierte Tools einsetzen, um Zugriff zu halten, lateral zu wechseln und anschließend sensible Daten zu exfiltrieren. Die Linux-Phase bringt dabei neue Backdoors ins Spiel: AnnobinDoor, geschrieben in Go, übernimmt Rollen wie Remote Access, interaktive Shell, Dateimanagement, SOCKS-Proxying, SSH-Tunneling sowie Port Forwarding und Reverse Connections – faktisch wird die kompromittierte Linux-Instanz damit zu einem internen Pivot. Darauf folgt die Migration zu Windows, bei der nach Credential-Ernte und Etablierung eines festen Standorts mehrere Windows-Systeme per RDP angegangen werden, bis eine Anmeldung gelingt, typischerweise mit einem Administrator-Account. Für die Post-Exploitation werden dann mehrere maßgeschneiderte Werkzeuge erwähnt, darunter Module für Reconnaissance, Keylogging inklusive Clipboard- und Fensteraktivitätsbeobachtung sowie das gezielte Auslesen von Passwortdaten und Authentifizierungstokens aus NTLM- und Kerberos-Kontexten.
Besonders technisch ist dabei der Ansatz, die Abwehrmechanismen durch Kernel-Nähe auszutricksen. Der Bericht beschreibt, dass in die SparrowDoor- und SparrowShell-Umgebung Kernel-Rootkit-Funktionalität und kernel-level Fähigkeiten integriert wurden, um Prozesse zu verstecken und gleichzeitig Netzwerkpakete auf tiefem Niveau zu erfassen oder zu manipulieren. Als konkreter Mechanismus wird der Einsatz von WinDivert-Treibern genannt: Damit wird SparrowDoor scheinbar aus dem normalen Traffic herausgelöst, indem Pakete auf Kernel-Ebene umgebogen werden. Praktisch wird der Backdoor-Verkehr so behandelt, dass interne Verbindungen auf einem internen Port „lauschen“, externe Requests jedoch auf einen bereits von legitimen Diensten belegten Port – häufig 443 – gelenkt werden. Ein strikter Filter reduziert dabei die Bearbeitung auf Verbindungen aus einer vorgesehenen Quell-IP; zudem werden Ziel- und Quellports im Paket umgeschrieben, sodass Antworten wie aus der Perspektive des legitimen Dienstes erscheinen. Dass SparrowShell Code- und Infrastruktur-Überlappungen mit einer weiteren Malware-Familie zeigt, erhöht die Wahrscheinlichkeit, dass CopperDragon nicht nur betreibt, sondern auch Entwicklungs- und Lieferkomponenten für andere Kampagnen bereitstellt.
Das dritte Cluster, DarkWire, richtet sich schließlich stärker nach Lateinamerika und zielt auf Telekommunikationsanbieter sowie Behörden. Hier wird als Ersatz- bzw. Weiterentwicklung ein Wechsel gegenüber SparrowDoor angedeutet: CopperDoor und CopperDNS sollen als neuere Backdoors fungieren. Die Operation stützt sich zusätzlich auf einen Ladeprozess, der stark auf DLL-Sideloading setzt: CopperLoader lädt weitere Module nach, darunter CopperDoor selbst, CopperDNS sowie weitere Bausteine wie CopperProxy (SOCKS5), PyProxy (ein leichter UDP-Relay in Python) und CopperLsass (ein Modul zum Auslesen des LSASS-Prozesses für Credential Harvesting). Besonders auffällig ist CopperDNS, das die Kommunikation per DNS-Tunneling über MX-Abfragen abwickelt. Solche DNS-Mechanismen sind in vielen Umgebungen zwar nicht völlig neu, aber gerade in Kombination mit operationaler Vorsicht – etwa dem bewussten Vermeiden neuer Verzeichnisse auf dem Datenträger und dem Platzieren von Werkzeugen in bestehenden Systempfaden – wird die Erkennung erschwert. Zudem wird berichtet, dass die IP-Adressen häufig in derselben Region liegen wie die Opfer, was die Einordnung des Datenverkehrs im Netzwerk-Kontext zusätzlich verkompliziert.
Für Unternehmen ergibt sich daraus weniger ein „einmaliges Patchen“, sondern ein Muster für die Abwehrplanung: Wer nur die sichtbare Payload bekämpft, wird bei einem modularen Sparrow-Baukasten schnell ins Hintertreffen geraten. Stattdessen müssen insbesondere die Einstiegspfade überwacht werden: Browser-basierte Lenkangriffe mit gefälschten Zertifikats-Repair-Utilities, Phishing-Ketten über LNK-Workflows mit legitimen Binaries als Startpunkt sowie DLL-Sideloading-Varianten. Dazu kommt die Notwendigkeit, seitliche Bewegungen in gemischten Netzwerken zu erkennen – etwa RDP-Loginversuche von Linux-gestützten Pivots in Windows-Domänen. Auch die defensive Perspektive auf Deep-Stealth-Ansätze ist relevant: Kernel-Nähe, Prozessverbergung und Port-Umschreibung verlangen Telemetrie, die nicht nur auf Signaturen basiert. In Summe zeigt Sparrow damit ein Bild, das weniger nach „Einzelangriff“ aussieht, sondern nach koordiniertem Tool-Ökosystem, das je Zielumgebung passend orchestriert wird.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sparrow-Malware: CopperDragon verknüpft drei China-nah gesteuerte Spionagekampagnen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sparrow-Malware: CopperDragon verknüpft drei China-nah gesteuerte Spionagekampagnen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sparrow-Malware: CopperDragon verknüpft drei China-nah gesteuerte Spionagekampagnen« bei Google Deutschland suchen, bei Bing oder Google News!