中国関連の攻撃グループ「FamousSparrow」、中南米の政府機関を狙い新バックドア「SparroWocky」を展開

要点

• 中国に関連するとされるサイバー攻撃グループ「FamousSparrow」が、2025年8月以降、中南米の複数国を標的に新種バックドア「SparroWocky」を展開していることが判明した。

• セキュリティ企業ESETの調査により、同グループは主要マルウェアを従来の「SparrowDoor」から「SparroWocky」へ移行させたことが確認された。

• SparroWockyはC++製のモジュラー型バックドアで、オープンソース技術を直接組み込み、高度な検知回避やコマンド実行、ファイル窃取機能などを備えている。

• 観測された攻撃対象の約90%がラテンアメリカ地域に集中しており、アルゼンチンやペルーなど8つの国や地域の政府機関が標的となっている。

• スロバキアのサイバーセキュリティ企業ESETは、中国との関連が指摘される国家主導型のサイバー脅威グループ「FamousSparrow（フェイマス・スパロー）」が、中南米各国の政府機関などを標的として、これまで報告されていなかった新型バックドア（侵入後に外部から遠隔操作を行うための不正プログラム）「SparroWocky（スパローウォッキー）」を展開しているとする調査結果を明らかにした。海外セキュリティメディア「The Hacker News」が2026年9月17日に報じた。

• 同グループは少なくとも2025年8月以降、同地域への攻撃を活発化させており、主要な攻撃ツールを従来のマルウェア「SparrowDoor」からSparroWockyへと刷新しているという。

新型バックドア「SparroWocky」の特徴と機能

ESETのセキュリティ研究者であるアレクサンドル・コテ・シール（Alexandre Côté Cyr）氏とロマン・デュモン（Romain Dumont）氏が公開した技術レポートによると、SparroWockyはC++で書かれたモジュラー構造（機能ごとに分割・拡張できる構造）を持つバックドアである。同マルウェアの初期バージョンに、イギリスの作家ルイス・キャロルが1855年頃に発表した有名なナンセンス詩『ジャバウォックの詩（Jabberwocky）』の第1連が含まれていたことから、この名前が付けられたという。

研究者は、SparroWockyの設計アーキテクチャや採用されている技術から、攻撃者がWindowsの内部構造やセキュリティ製品による解析を妨害する手法（アンチアナリシス技術）に対して深い知識を有していることが示されていると説明している。

SparroWockyには、感染端末を遠隔制御し機密情報を収集するための多様な機能が備わっている。具体的には以下のような機能が確認されている。

• 任意のファイル実行およびコマンドの実行
• 攻撃者の通信を中継するTCPプロキシ機能
• 感染した端末の一般的なシステム情報やネットワークインターフェースのIPアドレス収集
• 端末内からのファイル窃取（外部送信）
• 定期的なスクリーンショットの撮影
• 端末内でのファイル操作全般
• 痕跡を消去するための自己削除機能

オープンソースツールの統合による高度な検知回避

SparroWockyの大きな技術的特徴として、通信の保護やセキュリティ製品の検知を回避するために、複数の公開オープンソースプロジェクトのコードをバックドア本体に直接組み込んでいる点が挙げられる。

レポートでは、以下のオープンソースプロジェクトの利用が確認されている。

• Mbed TLS: C2サーバー（攻撃者がマルウェアへ指令を送る遠隔制御サーバー、「216.238.110[.]120」）との間でTLSによる暗号化通信チャネルを確立するために使用。
• MinHook: 新たに作成されたスレッドの開始アドレスをセキュリティ製品から隠蔽するために使用。
• COFF Loader: メモリ上でCOFF（Windowsの実行可能オブジェクト形式）オブジェクトのプラグインを動的に読み込み、実行するために使用。
• SilentMoonwalk（別名StackMoonwalk）の亜種: MinHookの処理から発生するコールスタック（関数の呼び出し履歴）を偽装し、不審な挙動の追跡を困難にするために使用。

ESETは、FamousSparrowが以前からオープンソースの攻撃ツールを悪用してきたものの、従来はバックドアの外部で併用する形態が中心だったと指摘している。今回のSparroWockyでは、オープンソースのコードを独自のカスタムバックドアに直接組み込む形へと進化しており、攻撃者グループの開発能力が高まっていることがうかがえると述べている。

攻撃手法の共通点とラテンアメリカへの集中

マルウェアファミリー自体は刷新されたものの、攻撃インフラへの侵入以降に用いられる基礎的な技術には一貫性が見られるという。SparroWockyの起動には、従来のSparrowDoorと同様に「DLLサイドローディング」（正規の実行ファイルが読み込むDLLを不正なファイルにすり替えて実行させる手法）が用いられている。正規の実行ファイルを通じて不正なローダーDLLを起動し、そのローダーがメインのペイロードを復号して実行する多段階の仕組みが採用されている。なお、攻撃者が標的ネットワークへ最初に侵入した経路（初期アクセスベクター）については、現時点で判明していない。

さらに、FamousSparrowは2025年7月頃からラテンアメリカ地域の重要機関に標的を絞り込んでいる傾向が強く現れている。ESETの観測データ（テレメトリ）によると、同グループによって記録された標的の約90%が同地域に集中しているという。

具体的には、アルゼンチン、エクアドル、グアテマラ、ホンジュラス、パナマ、ペルー、プエルトリコ、ベネズエラの計8つの国や地域において、政府機関を標的としたSparroWockyの展開が確認された。

FamousSparrowは少なくとも2019年から活動が確認されているサイバー脅威グループであり、「Earth Estries」や「Salt Typhoon」といった他の脅威アクターとも一部で活動の重複が指摘されている。

ESETは、同グループが現在見せているラテンアメリカへの集中について、「公式な地理的任務（マンデート）を反映したものなのか、あるいは現在の地政学的状況に左右された一時的なものなのかは明らかではない」と述べている。