Latin Amerika devlet kurumlarına Çin merkezli siber casusluk operasyonu
Slovakya merkezli siber güvenlik şirketi ESET, Çin ile bağlantılı Gelişmiş Kalıcı Tehdit (APT) grubu FamousSparrow’un yeni bir arka kapı programı geliştirdiğini açıkladı. SparroWocky adı verilen bu yazılımın, Ağustos 2025’ten bu yana Latin Amerika’daki çeşitli ülkelerde dağıtıldığı kaydedildi. ABD’li hükümet yetkililerinin Latin Amerika’ya yönelik artan ilgisine karşılık olarak Çin’in bölgedeki devlet kurumlarını hedef alan casusluk faaliyetlerini yoğunlaştırdığı belirtildi.
ESET araştırmacıları, incelenen ilk örneklerin tamamında İngiliz yazar, şair ve matematikçi Lewis Carroll’un “Jabberwocky” şiirinin ilk kıtasının bulunması sebebiyle bu arka kapıyı SparroWocky olarak adlandırdı.
FamousSparrow grubunun geçmişi ve yöntemleri
FamousSparrow, 2019 yılından bu yana aktif olduğu düşünülen Çin bağlantılı bir siber casusluk grubu olarak biliniyor. ESET Research, grubu ilk olarak Eylül 2021’de ProxyLogon güvenlik açığını istismar ettiği sırada kamuoyuna duyurmuştu. Başlangıçta küresel ölçekte otelleri hedef alan grup, ilerleyen süreçte hükümetleri, uluslararası kuruluşları, ticaret gruplarını, mühendislik şirketlerini ve hukuk firmalarını odağına aldı.
ESET, SparroWocky’nin ilk saldırılarda gruba özel SparrowDoor aracılığıyla dağıtılması ve kurban profillerinin önceki hedeflerle örtüşmesi nedeniyle bu son kampanyayı FamousSparrow’a atfetti. Grubun, SparrowDoor’un bilinen tek kullanıcısı olduğu ifade edildi.
Modüler altyapı ve hedeflenen ülkeler
SparroWocky’nin mimarisi, analiz önleme yöntemleri ve Windows işletim sisteminin iç yapısına dair derin bir teknik bilgi birikimini yansıtan modüler bir C++ arka kapısı olduğu bildirildi. ESET araştırmacısı Alexandre Côté Cyr, konuya ilişkin değerlendirmesinde Arjantin, Ekvador, Guatemala, Honduras, Panama, Peru, Porto Riko ve Venezuela’daki devlet kurumlarına karşı bu yazılımın kullanıldığını tespit ettiklerini belirten ifadelere yer verdi. Cyr, bu durumun Çin bağlantılı APT grupları arasında nadir görülen bir gelişme olduğunu aktardı.
ESET verilerine göre, 2025 ortasından 2026 yılına kadar kaydedilen grup hedeflerinin yüzde 90’ı Latin Amerika bölgesinde yer aldı. Bölgedeki yüksek profilli kurumlara yönelik siber casusluk hareketliliğinin Temmuz 2025’te başladığı ve SparroWocky’nin devreye girmesiyle sürdüğü kaydedildi.
Bölgesel jeopolitik ve ticari anlaşmazlıklar
ESET, bu odaklanmanın ABD’nin Latin Amerika’daki girişimlerine yönelik bir tepkiyi yansıttığı değerlendirmesinde bulundu. ABD Başkanı Donald Trump’ın ikinci döneminde Latin Amerika’daki ABD çıkarlarının vurgulanmasının, Çin’in son on yılda bölgedeki enerji, madencilik ve telekomünikasyon yatırımlarını etkilediği ifade edildi. FamousSparrow’un faaliyetlerinin, yerel hükümetlerin ABD politikalarına vereceği yanıtları izleme amacına hizmet ettiği aktarıldı. Örneğin hedef alınan Panamalı bir kuruluşun, kanal bölgesindeki iki büyük limana ilişkin ticari anlaşmazlığa doğrudan taraf olduğu belirtildi.
SparroWocky’nin teknik özellikleri ve kalıcılık sağlama yolları
SparroWocky, rastgele dosyaları çalıştırma, TCP proxy’si olarak işlev görme, komut yürütme, dosya sızdırma ve ekran görüntüsü alma yeteneklerine sahiptir. Ele geçirilen sistemden bilgisayar adı, kullanıcı adı, etki alanı adı, Windows sürümü ve IP adresleri gibi veriler toplanmaktadır. Dışarı aktarılan bilgiler RC4 ile şifrelenip TLS protokolü üzerinden iletilmektedir. Yazılım, özel bir hizmet oluşturarak veya kayıt defterindeki Run anahtarına giriş ekleyerek sistemde kalıcılık sağlamaktadır.
Kötü amaçlı yazılım, tespiti zorlaştırmak için bellekteki düşük seviyeli yapıları manipüle etmekte ve çalışma zamanında kodu yamalamaktadır. SparroWocky, açık kaynak kodlarını kendi altyapısına entegre edebilmekte ve Beacon Object Files (BOF) adı verilen özel yürütülebilir dosyaları yükleyip çalıştırabilmektedir.
